关于安全：

最新推荐文章于 2024-09-16 00:24:00 发布
最新推荐文章于 2024-09-16 00:24:00 发布
阅读量59 收藏
点赞数
文章标签： php web安全 javascript ViewUI
原文链接：https://my.oschina.net/yonghan/blog/847821
版权

2019独角兽企业重金招聘Python工程师标准>>> hot3.png

关于安全：

  • WEB安全在现在的WEB应用中越来越体现他自身的重要性。
  • InitPHP框架提供了一套WEB安全基础的实现方式。

全局Filter机制：

  • InitPHP框架内置了filter()函数对$_GET、$_PSOT、$_COOKIE、$_SERVICE等容易被攻击的全局变量进行了过滤
  • filter()函数在框架运行的时候会自动加载执行
  • Filter安全类：page.gif core/controller/filter.init.php
/**
 * 安全过滤类-全局变量过滤
 * 在Controller初始化的时候已经运行过该变量，对全局变量进行处理
 *  Controller中使用方法：$this->controller->filter()
 * @return
 */
public function filter() {
	if (is_array($_SERVER)) {
		foreach ($_SERVER as $k => $v) {
			if (isset($_SERVER[$k])) {
				$_SERVER[$k] = str_replace(array('<','>','"',"'",'%3C','%3E','%22','%27','%3c','%3e'), '', $v);
			}
		}
	}
	unset($_ENV, $HTTP_GET_VARS, $HTTP_POST_VARS, $HTTP_COOKIE_VARS, $HTTP_SERVER_VARS, $HTTP_ENV_VARS);
	self::filter_slashes($_GET);
	self::filter_slashes($_POST);
	self::filter_slashes($_COOKIE);
	self::filter_slashes($_FILES);
	self::filter_slashes($_REQUEST);
}

/* 运行的时候执行 */
/**
 * 初始化控制器，
 */
public function __construct() {
	$this->filter();
	$this->set_token(); //生成全局TOKEN值，防止CRsf攻击
}

丰富的过滤函数：

  • InitPHP框架提供了丰富的数据过滤函数
  • 过滤类：page.gif core/controller/filter.init.php
/* 一部分类 */
/**
 * 安全过滤类-加反斜杠，放置SQL注入
 *  Controller中使用方法：$this->controller->filter_slashes(&$value)
 * @param  string $value 需要过滤的值
 * @return string
 */
public static function filter_slashes(&$value) {
	if (get_magic_quotes_gpc()) return false; //开启魔术变量
	$value = (array) $value;
	foreach ($value as $key => $val) {
		if (is_array($val)) {
			self::filter_slashes($value[$key]);
		} else {
			$value[$key] = addslashes($val);
		}
	}
}

/**
 * 安全过滤类-过滤javascript,css,iframes,object等不安全参数 过滤级别高
 *  Controller中使用方法：$this->controller->filter_script($value)
 * @param  string $value 需要过滤的值
 * @return string
 */
public function filter_script($value) {
	$value = preg_replace("/(javascript:)?on(click|load|key|mouse|error|abort|move|unload|change|dblclick|move|reset|resize|submit)/i","&111n\\2",$value);
	$value = preg_replace("/(.*?)<\/script>/si","",$value);
	$value = preg_replace("/(.*?)<\/iframe>/si","",$value);
	$value = preg_replace ("//iesU", '', $value);
	return $value;
}

统一的get_gp函数，获取GET或者POST数据：

  • 不建议用户使用$_GET和$_POST的方法获取GET或者POST数据
  • get_gp函数默认会过滤数据
  • 该函数还提供数组获取方法，可以获取多个数据
  • 如果你使用InitPHP框架，请强制使用该函数
/**
 * 安全过滤类-获取GET或者POST的参数值，经过过滤
 * 如果不指定$type类型，则获取同名的，POST优先
 * $isfilter 默认开启，强制转换请求的数据
 * 该方法在Controller层中，获取所有GET或者POST数据，都需要走这个接口
 *  Controller中使用方法：$this->controller->get_gp($value, $type = null,  $isfilter = true)
 * @param  string|array $value 参数
 * @param  string|array $type 获取GET或者POST参数，P - POST ， G - GET
 * @param  bool         $isfilter 变量是否过滤
 * @return string|array
 */
public function get_gp($value, $type = null,  $isfilter = true) {
	if (!is_array($value)) {
		if ($type === null) {
			if (isset($_GET[$value])) $temp = $_GET[$value];
			if (isset($_POST[$value])) $temp = $_POST[$value];
		} else {
			$temp = (strtoupper($type) == 'G') ? $_GET[$value] : $_POST[$value];
		}
		$temp = ($isfilter === true) ? $this->filter_escape($temp) : $temp;
		return $temp;
	} else {
		$temp = array();
		foreach ($value as $val) {
			if ($type === null) {
				if (isset($_GET[$val])) $temp[$val] = $_GET[$val];
				if (isset($_POST[$val])) $temp[$val] = $_POST[$val];
			} else {
				$temp[$val] = (strtoupper($type) == 'G') ? $_GET[$val] : $_POST[$val];
			}
			$temp[$val] = ($isfilter === true) ? $this->filter_escape($temp[$val]) : $temp[$val];
		}
		return $temp;
	}
}

CSRF风险控制：

  • CSRF（跨站请求伪造）是很多开发者容易遗漏的一个安全问题。
  • InitPHP框架内置了公用的TOKEN机制，在框架运行的时候就能生成用户的唯一TOKEN，用户每次打开浏览器访问网站的TOKEN都是不同的
  • 你需要做的是：在你的POST和GET请求的地方，添加上TOKEN，然后在你的Action中验证TOKEN是否正确
/* TOKEN实现 */
/**
 *	类加载-获取全局TOKEN，防止CSRF攻击
 *  Controller中使用方法：$this->controller->get_token()
 *  @return 
 */
public function get_token() {
	return $_COOKIE['init_token'];
}

/**
 *	类加载-检测token值
 *  Controller中使用方法：$this->controller->check_token($ispost = true)
 *  @return 
 */
public function check_token($ispost = true) {
	if ($ispost && !$this->is_post()) return false;
	if ($this->get_gp('init_token') !== $this->get_token()) return false;
	return true;
}

/**
 *	类加载-设置全局TOKEN，防止CSRF攻击
 *  Controller中使用方法：$this->controller->set_token()
 *  @return 
 */
private function set_token() {
	if (!$_COOKIE['init_token']) {
		$str = substr(md5(time(). $this->get_useragent()), 5, 8);
		setcookie("init_token", $str);
		$_COOKIE['init_token'] = $str;	
	}
}

/* 框架运行的时候生成TOKEN 和 模板赋值TOKEN */
/**
 * 初始化控制器，
 */
public function __construct() {
	$this->filter();
	$this->set_token(); //生成全局TOKEN值，防止CRsf攻击
}
/**
 * 初始化
 */
public function __construct() {
	global $InitPHP_conf;
	$this->controller = $this->load('controller', 'c'); //导入Controller
	$this->view       = $this->load('view', 'v'); //导入View	
	$this->view->set_template_config($InitPHP_conf['template']); //设置模板
	$this->view->assign('init_token', $this->controller->get_token()); //全局输出init_token标记
}

/* 如何使用：*/
GET方式提交-在URL或者GET提交上面，添加init_token=
http://127.0.0.1/?init_token=
POST的方法，用一个隐藏表单 表单名称init_token 值：
然后在Action中
$this->controller->check_token(); 
来验证token是否一致

XSS风险控制：

  • XSS的问题是一个头大的问题，很多大型网站也经常会爆出这样的漏洞。
  • XSS防范主要是输出过滤。将输出到模板上的PHP变量都进行HTML过滤
  • InitPHP开发框架提供两种方式：模板输出的时候对全局进行过滤；提供InitPHP::output()输出过滤函数
  • 采用全局变量输出过滤的方式，需要开启配置：$InitPHP_conf['isviewfilter']
  • InitPHP::output()函数也可以还原已经被HTML过滤过的变量
/* 全局输出过滤 */
/**
 * 模板-显示视图
 * 1. 在Controller中需要显示模板，就必须调用该函数
 * 2. 模板解析可以设置 $InitPHP_conf['isviewfilter'] 值,对变量进行过滤
 * Controller中使用方法：$this->view->display();
 * @return array
 */
public function display() {
	global $InitPHP_conf;
	if (is_array($this->view)) {
		if ($InitPHP_conf['isviewfilter']) $this->out_put($this->view); //输出过滤
		foreach ($this->view as $key => $val) {
			$$key = $val;
		}
	}
	$this->template_arr = $this->parse_template_arr($this->template_arr); //模板设置
	foreach ($this->template_arr as $file_name) {
		if (in_array($file_name, $this->remove_tpl_arr)) continue;
		$complie_file_name = $this->template_run($file_name); //模板编译
		if (!file_exists($complie_file_name)) InitPHP::initError($complie_file_name. ' is not exist!');
		include_once($complie_file_name);
	}
}

/* 手工输出InitPHP::output函数 */
/**
 * 【静态】XSS过滤，输出内容过滤
 * 1. 框架支持全局XSS过滤机制-全局开启将消耗PHP运行
 * 2. 手动添加XSS过滤函数，在模板页面中直接调用
 * 全局使用方法：InitPHP::output($string, $type = 'encode');
 * @param string $string  需要过滤的字符串
 * @param string $type    encode HTML处理 | decode 反处理
 * @return string
 */
public static function output($string, $type = 'encode') {
	$html = array("&", '"', "'", "<", ">");
	$html_code = array("&", """, "'", "<", ">");
	if ($type == 'encode') {
		if (function_exists('htmlspecialchars')) return htmlspecialchars($string);
		return str_replace($html, $html_code, $string);
	} else {
		if (function_exists('htmlspecialchars_decode')) return htmlspecialchars_decode($string);
		return str_replace($html_code, $html, $string);
	}
}

SQL安全：

  • SQL的安全是非常重要的一个环节，如果你的SQL语句出现了问题，那么黑客很容易攻破你的网站
  • InitPHP框架提供了一整套SQL安全机制：sql_build和常用DB操作函数
  • 一般情况下你的DB操作我们提供的DB操作函数能满足你的需求了
  • 如果你自己写SQL语句，并且SQL语句中包含变量，请用sql_build提供的相关函数组装SQL语句
public function get_one($id, $table_name, $id_key = 'id') {
	$id = (int) $id;
	if ($id < 1) return array(); 
	$where = $this->build_where(array($id_key=>$id)); //组装函数
	$sql = sprintf("SELECT * FROM %s %s LIMIT 1", $table_name, $where);
	$result = $this->query($sql, false);
	if (!$result) return false;
	$r = $this->fetch_assoc($result);
	$this->set_default_link_id(); //设置默认的link_id
	return $r;
}

其他安全问题：

  • 项目安全还包括业务逻辑是否正确，是否会被用户钻空子
  • 类型的转换，INT类型的一定要强制转换

转载于:https://my.oschina.net/yonghan/blog/847821

weixin_34059951
关注
内网安全之：Exchange 服务器安全
f_carey的博客
12-01 7049
郑重声明： 本笔记编写目的只用于安全知识提升，并与更多人共享安全知识，切勿使用笔记中的技术进行违法活动，利用笔记中的技术造成的后果与作者本人无关。倡导维护网络安全人人有责，共同维护网络文明和谐。 Exchange 服务器安全1 Exchange 邮件服务器介绍1.1 Exchange 服务器角色1.2 客户端/远程访问接口和协议2 部署 Exchange 服务3 Exchange服务发现3.1 基于端口扫描发现3.2 SPN 查询4 Exchange的操作4.1 查看 Exchange 基本操作4.2 .
关于卸载亚信安全防火墙软件
m0_56428223的博客
10-01 7987
HKEY_LOCAL_MACHINE/SOFTWARE/Wow6432Node/TrendMicro/PC-illinNTcorp/CurrentVersion/Misc中Allow Uninstall的值为1;4.win+R输入control,打开控制面板,找到卸载,直接卸载即可,然后会跳出手动删除文件就行( Asiainfo Security officeScan).3.win+R输入regedit,打开注册表编辑器进入/Misc/,修改/Allow Uninstall 的键属值改为1即可。
【宠粉赠书】大模型时代的网络安全：安恒“网安三剑客”实战指南
踏雨歌青春，诗酒趁年华
06-05 1万+
本文是Damon小智在万粉之际回馈粉丝的赠书福利文章。不知不觉中，小智的粉丝已经突破一万。为了回馈粉丝们的厚爱，今天小智给大家送上一套网络安全界的三宝书——安恒"网安三剑客"。下面我会详细给大家介绍这套图书，文末留有领取方式。
关于网络安全设备总结
beirry的博客
11-30 5550
关于网络安全设备总结 这里只是介绍一下这些网络安全设备的定义，功能，以及它提供了哪些安全性功能，理论偏多。 路由器 路由器其实就是连接多个使用相同协议网络的设备，它的作用主要在网络层（OSI七层模型、TCP/IP四层模型）。 它可以确定网络流量可以采取的最高有效路径。用现实生活来比喻就是我们从家里到学校中选择最快的那条路到达学校。 大部分的路由器不会转发广播流量，如果不懂网络的话可以看看网络的一些知识点。 安全相关：路由器中有个访问控制列表，就是阻止或允许流量的规则列表。路由器可以通过访问控制列表来过滤网络
信息安全：网络攻击原理与常用方法.
网络安全领域___专研者.
04-04 9216
网络攻击：是损害网络系统安全属性的危害行为。危害行为导致网络系统的机密性、完整性、可控性、真实性、抗抵赖性等受到不同程度的破坏。
网络安全那些梗
wangyuxiang946的博客
10-28 3万+
摘要
【粉丝福利社】《安恒“网安三剑客”：大模型时代下的网络安全实战指南》（文末送书-完成）
热门推荐
时光隧道
06-06 4万+
大模型风潮已掀起，各大巨头争相入局，从ChatGPT到Sora，全球的AI应用“卷出了花”。然而，网络安全人员在享受AI技术带来的便捷之余，也不得不面对一系列新兴的安全挑战，无法忽视。首先是隐私泄露问题，AI大模型需要海量的数据来训练，这意味着个人敏感信息有可能在不知不觉中被吸收进模型之中，一旦这些信息泄露，后果不堪设想。比如你的购物习惯、位置信息，甚至面部识别数据可能都会落入不法分子之手。
论文总结：云安全研究方向及进展综述
木易杨的博客
10-11 7883
目录 1、云安全在信息安全领域所处位置 2、云计算环境面临的威胁和挑战 2.1 云安全发展史 2.2 云计算安全与传统计算安全区别[5] 2.3 从顶层框架的角度看云安全研究目标 3、研究进展和解决方案 3.1 虚拟化、数据、应用安全[6] 3.2 系统安全、网络安全、数据安全[7] 3.3 从数据安全角度 4、云安全未来发展 1、云安全在信息安全领域所处位置 根据ISO（国际标准化组织）的定义为：信息安全为数据处理系统建立和采用的技术、管理上的安全保护，为的是保护计算机硬件、软
app如何进行安全测试？
weixin_43886221的博客
04-02 2606
软件安全性测试是软件质量保证过程中的一个重要环节，其目的是为了发现、暴露和修复软件系统中可能存在的安全漏洞或弱点，确保系统在遭受恶意攻击时能够有效保护数据的机密性、完整性和可用性。在设计和执行软件安全性测试时，测试人员会模拟各种安全威胁和攻击场景，以验证软件在面临这些潜在风险时的安全防护能力。总之，在执行安全测试时，不仅要注重技术手段的有效性，还要充分考虑法律、伦理、风险管理等多个维度，确保整个测试过程既严谨又合规。软件安全性测试旨在确保软件产品的整体安全性，并为用户提供一个安全可靠的环境来使用和交互。
网络安全概述
phoenix7670的博客
09-03 5467
​ 网络安全是指保护网络系统中的软件、硬件及信息资源，使之免受偶然或恶意的破坏、篡改和泄露，保证网络系统的正常运行、网络服务不中断。​ 所谓的网络安全威胁是指某个实体（人、事件、程序等）对某一网络资源的机密性、完整性、可用性及可靠性等可能造成的危害按威胁目的性分类：偶然、故意​ 故意威胁又分为：主动、被动按威胁针对的目标来分类：对信息通信的威胁 （通信过程中的四种攻击方式：中断、截获、篡改、伪造）对信息存储的威胁 （破坏存储设备上的程序和数据的机密性、完整性和可用性）
TRIMPS-SC13-001：2021 网络安全等级测评与检测评估机构服务认证实施规则.pdf
12-18
本文档是关于网络安全等级测评与检测评估机构服务认证实施规则的详细规定，旨在确保网络安全等级测评机构的服务质量和安全性。下面是该文档中所涉及的知识点： 1. 适用范围：本规则适用于网络安全等级测评机构，...
附件：关于金融业网络安全攻防比赛的通知.pdf
09-18
附件：关于金融业网络安全攻防比赛的通知.pdf
杂项-安全：访问安全
weixin_30485799的博客
02-14 4067
ylbtech-杂项-安全：访问安全 访问控制是给出一套方法，将系统中的所有功能标识出来，组织起来，托管起来，将所有的数据组织起来标识出来托管起来， 然后提供一个简单的唯一的接口，这个接口的一端是应用系统一端是权限引擎。权限引擎所回答的只是：谁是否对某资源具有实施 某个动作（运动、计算）的权限。返回的结果只有：有、没有、权限引擎异常了。 访问控制是几乎所有系统（包括计算...
SEAFARING靶场渗透
kknifek的博客
09-13 617
??echo '<??
dedecms（四种webshell姿势）
2301_81881972的博客
09-14 1084
点击【系统】【sql命令行工具】--》多行命令中输入select '<?>' into outfile '+路径+创建文件名。与WPCMS类似，直接修改模板拿WebShel..点击【模板】--》【默认模板管理】【index.htm】-->【修改】在文件修改中添加一句话代码.....如下。点击【模块】【广告管理】--》〔【增加一个新广告】 --》在 【广告内容】 处添加一句话代码--》点击 【确定】账号密码同为admin。
Netty笔记03-组件Channel
weixin_46425661的博客
09-12 916
本文主要讲解Netty中的组件Channel、ChannelFuture和CloseFuture
【渗透测试】——Upload靶场实战（1-5关）
最新发布
HinsCoder的博客
09-16 1170
upload-labs是一个使用 php 语言编写的，专门收集渗透测试和CTF中遇到的各种上传漏洞的靶场。旨在帮助大家对上传漏洞有一个全面的了解。目前一共21关，每一关都包含着不同上传方式。
PHP在现代Web开发中的高效应用与最佳实践
运维人生
09-13 1164
我们将使用Laravel框架来构建一个简单的博客系统，该系统包括文章发布、编辑、查看和评论等功能。PHP作为一门成熟且强大的服务器端脚本语言，在现代Web开发中依然扮演着重要角色。通过遵循最佳实践、利用现代PHP版本的特性和成熟的框架与组件，开发者可以高效构建出稳定、安全、可扩展的Web应用。本文通过一个简单的博客系统案例，展示了PHP在实际项目中的应用方法和技巧，希望能为PHP开发者提供一些有益的参考和启发。
云安全：挑战与实践
“《云计算安全：技术与应用》是中国电信网络安全实验室多位专家关于云安全的深入研究和实践的结晶，旨在帮助读者理解并应对云计算环境中的安全挑战。” 云计算，作为信息技术的创新模式，已经在全球范围内引发了一...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值