php注入某大型網站,php 依賴注入的實現

本文目錄一覽：

• 1、PHP網站怎麼sql注入？有沒有破解防禦的方法？
• 2、thinkphp網站怎麼注入，語句有什麼
• 3、怎樣注入PHP網站提權3389許可權
• 4、php內嵌其它網站怎麼做？
• 5、為什麼大型網站前端使用 PHP 後台邏輯用 Java？

PHP網站怎麼sql注入？有沒有破解防禦的方法？

網站的運行安全肯定是每個站長必須考慮的問題，大家知道，大多數黑客攻擊網站都是採用sql注入，這就是我們常說的為什麼最原始的靜態的網站反而是最安全的。 今天我們講講PHP注入的安全規範，防止自己的網站被sql注入。

如今主流的網站開發語言還是php，那我們就從php網站如何防止sql注入開始說起：

Php注入的安全防範通過上面的過程，我們可以了解到php注入的原理和手法，當然我們也同樣可以制定出相應該的防範方法：

首先是對伺服器的安全設置，這裡主要是php+mysql的安全設置和linux主機的安全設置。對php+mysql注射的防範,首先將magic_quotes_gpc設置為On，display_errors設置為Off，如果id型，我們利用intval()將其轉換成整數類型，如代碼：

$id=intval($id);

mysql_query=」select *from example where articieid=』$id』」;或者這樣寫：mysql_query(」SELECT * FROM article WHERE articleid=」.intval($id).」”)

如果是字元型就用addslashes()過濾一下，然後再過濾」%」和」_」如：

$search=addslashes($search);

$search=str_replace(「_」,」\_」,$search);

$search=str_replace(「%」,」\%」,$search);

當然也可以加php通用防注入代碼：

/*************************

PHP通用防注入安全代碼

說明：

判斷傳遞的變數中是否含有非法字元

如$_POST、$_GET

功能：

防注入

**************************/

//要過濾的非法字元

$ArrFiltrate=array(」『」,」;」,」union」);

//出錯後要跳轉的url,不填則默認前一頁

$StrGoUrl=」”;

//是否存在數組中的值

function FunStringExist($StrFiltrate,$ArrFiltrate){

foreach ($ArrFiltrate as $key=$value){

if (eregi($value,$StrFiltrate)){

return true;

}

}

return false;

}

//合併$_POST 和 $_GET

if(function_exists(array_merge)){

$ArrPostAndGet=array_merge($HTTP_POST_VARS,$HTTP_GET_VARS);

}else{

foreach($HTTP_POST_VARS as $key=$value){

$ArrPostAndGet[]=$value;

}

foreach($HTTP_GET_VARS as $key=$value){

$ArrPostAndGet[]=$value;

}

}

//驗證開始

foreach($ArrPostAndGet as $key=$value){

if (FunStringExist($value,$ArrFiltrate)){

echo 「alert(/」Neeao提示，非法字元/」);」;

if (empty($StrGoUrl)){

echo 「history.go(-1);」;

}else{

echo 「window.location=/」”.$StrGoUrl.」/」;」;

}

exit;

}

}

?

/*************************

保存為checkpostandget.php

然後在每個php文件前加include(「checkpostandget.php「);即可

**************************/

另外將管理員用戶名和密碼都採取md5加密，這樣就能有效地防止了php的注入。

還有伺服器和mysql也要加強一些安全防範。

對於linux伺服器的安全設置：

加密口令，使用「/usr/sbin/authconfig」工具打開密碼的shadow功能，對password進行加密。

禁止訪問重要文件，進入linux命令界面，在提示符下輸入：

#chmod 600 /etc/inetd.conf //改變文件屬性為600

#chattr +I /etc/inetd.conf //保證文件屬主為root

#chattr –I /etc/inetd.conf // 對該文件的改變做限制

禁止任何用戶通過su命令改變為root用戶

在su配置文件即/etc/pam.d/目錄下的開頭添加下面兩行:

Auth sufficient /lib/security/pam_rootok.so debug

Auth required /lib/security/pam_whell.so group=wheel

刪除所有的特殊帳戶

#userdel lp等等 刪除用戶

#groupdel lp等等 刪除組

禁止不使用的suid/sgid程序

#find / -type f \(-perm -04000 – o –perm -02000 \) \-execls –lg {} \;

thinkphp網站怎麼注入，語句有什麼

tp的注入沒那麼好注入的，因為他自帶了 過濾然後程序員再寫一層過濾..你還想注入…

怎樣注入PHP網站提權3389許可權

查找可用的注入點，注入後得到管理員帳號密碼進後台傳小馬後再大馬提權OK

php內嵌其它網站怎麼做？

訪問和顯示可以實現，但是要進行操作就比較麻煩了吧。

php可以用curl獲取目標網址然後輸出。

為什麼大型網站前端使用 PHP 後台邏輯用 Java？

最近糾結了一下，如果開發一個大型的網站，我到底應該使用php還是jsp，後台到底使用php還是用java，我的選擇要麼是php要麼是java，因為我喜歡linux、unix，當然window平台也必須支持，以便哦的妹紙可以查看。這就要求用一些跨平台相當好的軟體+工具+語言，所以選擇只能是這麼幾個。最後我的決定是php+java，一個前台一個後台，理由如下： php和java在開源社區的活躍度嚴重超過了其他的語言，使用人數也都是相當之多；活躍的開發工程師們能夠給我幫助，且這倆都能很好的跨平台，不用花費大量的人力物力去維護 我也做過一個物聯網的網關網站，比較複雜，當時採用的是jsp+java，複雜程度可想而知，單單說開發過程，網站部分繁瑣，每次想查看結果運行網站的時候還需要重新打包部署一下，嚴重影響了哦的開發效率，每天的時間都是在等待（因為網站比較複雜，打包部署需要浪費一些時間）。相對來說呢，php就沒有了，php靈活，好學，上手快，容易修改，容易發布，關鍵是熱部署，這個真讓哦眼睛大亮。當然看待任何事物都需要兩種眼光，php也會有缺點，比如沒有太好的開發IDE，所以拼寫錯誤很正常，且php的sql注入危險較大點，執行效率不高，安全性不如java。還有一些理由，來自知乎的米米們給的建議： Java的優點則是穩定可靠、運行效率高（尤其是JIT的出現之後差距更大了）、不容易犯錯（強類型、預編譯、必須攔截異常等等），缺點是開發和發布的效率相對較低。儘管優秀的工程師能在一定程度上改變以上的問題，但通常而言，哪能到處都是高手多如狗的夢之隊？ 從MVC的層次結構上說，在一般網站項目的開發周期中，需求變更最頻繁、調整最多的是View，其次是Controller，最後是Model。這非常好理解，沒事幹誰天天改數據結構？每次版本升級控制結構都要改的啦，或多或少而已。再次是兩者之間的通信，目前RPC技術已經足夠成熟，無論是Web Service/Hessian/RESTful API都能夠讓開發人員專註在功能開發上，而不需要過多的考慮異構平台的差異和通訊的細節。這也就意味著在大公司里同時應用兩種語言的方案並不會引入過多的複雜度和工作量。當然，文檔量的下限倒是因此被拔高了不少，但事實上大部分團隊對此其實都是喜聞樂見的：別每天說文檔重要但沒空了，你不寫其他同事怎麼配合？ 靠近用戶的前端，使用PHP能夠更快的完成前端頻繁而瑣碎的更新，自如的應對各種需求的變化。頁面的結構調整、用戶輸入內容的基本驗證、僅只和用戶交互有關的簡單邏輯等都很適合使用PHP來開發，甚至可以通過類似Smarty等模板技術將其頁面的變動遷移到前端團隊。而基本的業務邏輯和數據的更新採用Java開發，可以有效的提高復用度、提升性能和吞吐能力、規避安全問題等。而開發效率稍有降低換來的是可維護性的提升，發布速度慢就更不是問題了，因為通常對於基礎業務邏輯的調整往往都是整體修改，並層層測試確認才能發布的。 所以，大型網站前端採用PHP後端採用Java，既好招人又好維護、系統穩定還性能高、連安全性都大大增加。代碼復用、文檔完備度居然也都改善了。讓你在以上這些好處觸手可及時，對架構師知識譜系在廣度上要求更高一些這事根本就不是個問題。單一方案其實一樣可以做良好的隔離，PHP同樣可以提供Service，而性能問題其實很多時候是演算法和架構的問題而不是語言差異的問題。如Velocity或JSTL等也是很優秀的隔離方案。但這些方案在高壓力下會暴露出很多問題而體現雙語言的優勢，這些在上面其實都提到，詳細說明一些很難得到改變的點：1. PHP由於其動態腳本語言的特性，包括類、函數、常量在內都需要在每次請求周期中重複執行後才能建立運行環境；為了保證解析速度而犧牲編譯質量；應用了FastCGI但僅僅只是復用進程處理請求減少fork成本而不是像其他語言，初始化完畢後通過FastCGI的介面獲得數據並以對應介面返回數據等幾個原因，基本上已經不可能在性能上追回當初更爛現在開著JIT牌跑車的Java了。2. 在PHP里是如此的容易犯錯而難以發現，即使你用實質上出自官方的Zend Studio，也無法改變一個事實：要保證你的程序高質量無大錯，得要有充足的經驗、足夠的嚴謹、以及——負責任的QA。淘寶的黃裳就曾經拿IDE這事開過玩笑。而玩笑背後的那個原因「缺乏中間件」最近幾年有不少的改善，主要是不少中間件的支持變得更廣泛了從而讓PHP得益，但發展的根源其實還是在C和Java社區。性能和易犯錯則是語言特性造成的技術難點，也是用來換取靈活、快捷的必要代價，很難去指望有根本的改善。3. Java的世界裡也有JSTL、Velocity和Freemaker等，但和PHP靈活而強大的動態能力、豐富的函數和類庫、輕鬆的學習成本、多到令人髮指的文檔相比，簡直就是渣，就是渣啊！JSTL改完了要重啟Context啊有木有？Velocity不關緩存也要重啟啊有木有？Velocity開緩存性能低下啊有木有？即使這些都不管，調整下某個數據校驗規則要改Action也要重啟有木有？實際工作中性能問題可以通過良好的架構解決，容易犯錯的問題可以通過框架和規範以及全面的測試來解決，中間件選擇少些但其實該有的都有了，Java的靈活性一樣有不少可供考慮的解決方案哪怕是挫得要死的摘掉節點重啟，完成後重新上節點的策略。所以，大家會看到單一語言的技術團隊也很多，這個問題的真正考慮還是更多在團隊自身的特點、積累等等。用了雙語言的，也知道自己為什麼要用這些，不用的也清楚自己的路該怎麼走。最後的最後說一句：如果你不知道自己為什麼要用雙語言方案的話，基本上你也就不需要考慮它了。從知乎上整理得到上文 我的Email：jinhuer168@163.com