表单
表单的出现让用户和后台主机有了直接的交互,网站开始变的‘动态起来’,在HTML的各个标记符中,与PHP关系最为紧密的要属表单标记符了,常见的表单标记符有
、、、、、等,其中标记符是表单中最基础最重要的标记符了。所有提交给后台的数据必须包含在之间。其用法如下:其中 name 用来设置表单的命名,通过该命名,后台程序可以方便的访问表单数据。action属性用来设置表单处理程序的地址,一般为服务器端脚本文件(如PHP程序)或CGI程序的地址。method 属性用来定义数据从客户端浏览器传到服务器的传送方式,有两种:GET和POST。GET 传递方式是将表单数据添加到URL地址后面进行传递,不适合大数据的传递,因为有的浏览器会对信息的长度进行限制,太长的信息会被浏览器截断,从而导致信息的丢失。POST传递方式是将表单数据包含在表单主体中,一起传递给服务器,适合大量数据传输,而且不会在浏览器地址栏显示出表单数据,先对GET方来说比较安全,在不指定method属性,浏览器会默认使用GET方式传输表单数据。
get方法的实例:
"method="GET">用户名
密码
if (isset($_GET['submit'])) {
echo "
";
echo '用户名:'.$_GET['username']."
";
echo "密码:".$_GET['passwd'].'
';
}?>
在没点击“”提交“”之前的页面
主要看网址;在点击提交之后
网址改变了,并打印出了用户名和密码。
post方法的实例:
"method="POST">用户名
密码
if (isset($_POST['submit'])) {
echo "
";
echo '用户名:'.$_POST['username']."
";
echo "密码:".$_POST['passwd'].'
';
}?>
当没有点击“提交”之前
和get没有区别
当点击“提交”之后
从上面的比较可以看出POST和GET的区别,两个在提交之后的网址上看出来POST要比GET方法安全些。
注意:
此处使用的action="=$_SERVER['PHP_SELF'] ?>"存在xss攻击,
当打开localhost/mytest/index.php时构造一个script函数就可以进行攻击
不如这个,当请求http://localhost/mytest/index.php/%22%3E%3Cscript%3Ealert('xss')%3C/script%3E%3Cfoo时
页面会出现这种情况:
查看源代码会发现
action的值变为我们请求的地址了,这个是在写超全局变量时说过的,$_SERVER['PHP_SELF'] 这个函数会会原封不动的反映网址本身,由于html是一个标签类的语言,直接通过构造javascrip函数就可以进行xss攻击了。
解码之后的构造函数时:/">
解决方法时1.用htmlentities($_SERVER[’PHP_SELF’])来替代简单的$_SERVER[’PHP_SELF’]
2.用$_SERVER[’REQUEST_URI’]来替代$_SERVER[’PHP_SELF’]
所以,form的action还是不要留空的好。第二点,除了PHP_SELF之外,其他的$_SERVER变量也许也会有类似的漏洞,比如SCRIPT_URI, SCRIPT_URL, QUERY_STRING, PATH_INFO, PATH_TRANSLATED等等,在使用他们之前一定要先作htmlentities之类的