php常见的攻击方式

1、SQL注入

/* sql注入方式
 *  1、数字注入 eg: select * from id = [1 or 1] -----通过intval()函数将id转为数字
 *             eg: select * from id = [1 union select ....]
 *  2、分号注入  eg: select * from test1 where id=[1;# ] and name="aa"
 *              eg: select * from test1 where id=[1; insert/select/update语句]
 *  3、引号注入：eg：用户登录：SELECT * FROM users WHERE user='john' AND password=' [' OR ''=']'  //使用转义处理
 *
 * */
解决办法：mysql_real_escape_string()函数转义，inteval（）函数格式化数字，采用mysqli或者PDO预处理机制
现在的主流框架都采用PDO预处理，或者参数绑定；


2、XSS攻击
XSS(跨站点脚本攻击)是一种攻击，由用户输入一些数据到你的网站，其中包括客户端脚本(通常JavaScript)。如果你没有过滤就输出数据到另一个web页面，这个脚本将被执行。接收用户提交的文本内容，攻击者可能借此盗取用户信息，登录cookie等发动攻击。
解决方法：php一般使用函数htmlspecialchars()、htmlentities()、strip_tags()、addslashes()转移特殊字符的方式对用户输入内容进行处理。
　　　　　设置session.cookie_httponly 为1来禁止javascript获取cookie信息

3、CSRF跨站点请求伪造(Cross—Site Request Forgery)
解决方式：1、验证 HTTP Referer 字段；2、在请求地址中添加 token 并验证；3、在 HTTP 头中自定义属性并验证。

转载于:https://www.cnblogs.com/gongxulei/p/10033648.html