第十四天：PHP 开发，输入输出类&留言板&访问 IP&UA 头&来源

最新推荐文章于 2024-08-24 17:46:18 发布

上线之叁

最新推荐文章于 2024-08-24 17:46:18 发布

阅读量596

点赞数 17

文章标签： php 开发语言

本文链接：https://blog.csdn.net/san3144393495/article/details/138718328

版权

1.PHP-全局变量$_SERVER

2.MYSQL-插入语法INSERT

3.输入输出-XSS&反射&存储

4.安全问题-XSS跨站&CSRF等

1.输入输出类安全问题

反射性xss

这个先准备一个数据，随便弄一个表名字，在随便弄一点数据存入即可

作为连接的数据库，然后构造搜索框和输出回显

数据库配置文件

定义数据库查询语句，并且输出来

而上面会出书我们搜索的3的这个回显，如果我们插入js的代码，js就是前端html的代码，在代码输出的时候就会当作Jscript代码去执行

输入<script>alert(1)</script>

就会造成弹窗，这个可以盗取cookie和结合工具进行钓鱼，

存储型xss

先写html1的留言表单

<head>
    <meta charset="UTF-8">
    <title>留言板</title>
</head>
<hr>留言板<hr>

<form id="form1" name="form1" method="post">
    <p>
        <label for="textfield">ID:</label>
        <input type="text" name="id" id="textfield">//
    </p>
    <p>
        <label for="textfield2">昵称:</label>
        <input type="text" name="name" id="textfield2">
    </p>
    <p>
        <label for="textfield3">QQ:</label>
        <input type="text" name="qq" id="textfield3">
    </p>
    <p>
        <label for="textarea">内容:</label>
        <textarea name="content" id="content"></textarea>
    </p>
    <p>
        <input type="submit" name="submit" id="submit" value="提交">
    </p>
</form>
<p>
<hr>
<p>留言内容;</p>
</html>

然后构造一个存储数据的数据库

<?php
include('config/data.php');
$i=$_POST['id'];
$n=$_POST['name'];
$q=$_POST['qq'];
$c=$_POST['content'];
//INSERT INTO `lyb` VALUES (1, 176, 485, 'zI6V87Q1ki', 'UjScLrVEDL', '6UNgmHCNfe', 'admin');
$sql="INSERT INTO `lyb` VALUES ('$i', '804', '$q', '$n', '$c', 'admin');";

mysql_query($sql,$data);
echo $i.$n.$q.$c;

这里要注意主键不能重复，不然就不能写入文件，我数据库的主键是id是1

能正常写入数据

之后在写一个存储函数的输出

上面函数每次都会执行，因为数据库没有设置为空约束，所以空数据也会添加上去，所以加一个判断条件，数据不为空的时候在执行

if(empty($i)){
    $sql="INSERT INTO `lyb` VALUES ('$i', '804', '$q', '$n', '$c', 'admin');";
    mysql_query($sql,$data);
}
//INSERT INTO `lyb` VALUES (1, 176, 485, 'zI6V87Q1ki', 'UjScLrVEDL', '6UNgmHCNfe', 'admin');

$sqlc="select * from lyb";
mysql_query($sqlc,$data);
$result=mysql_query($sqlc,$data); //执行的结果赋值给变量
while($row=mysql_fetch_array($result)){ //循环，括号内是条件，row定义数组
    echo 'id:'.$row['flag'].'<br>'; //输出关联数组内容
    echo 'qq:'.$row['name'].'<br>';
    echo 'name:'.$row['id'].'<br>';
    echo 'content:'.$row['id'].'<br>';
}