php代码审计php安全

PHP安全之道学习笔记6:密码安全

PHP安全之道：密码安全   最近几年用户数据泄露越发频繁，一些使用PHP技术的大型网站被暴库或者脱库，facebook公司曾因为此类事件股价暴跌。
freephp·2020-01-05 22:00

PHP代码审计储存XSS形成防御加利用篇

来源：http://bbs.ichunqiu.com/thread-10532-1-1.html?from=ch最近在学习代码审计看了许多教程现在来说说储存型的XSS形成。什么是储存型XSS？存储型XSS，持久化，代码是存储在服务器中的，如在个人信息或发表文章等地方，加入代码，如果没有过滤或过滤不严，那么这些代码将储存到服务器中，用户访问该页面的时候触发代码执行。这种XSS比较危险，容易造成蠕虫，
池寒·2020-01-05 01:04

本周新书推荐 | 2019年第44周

星期四2019年10月31科技科普类《PHP安全之道项目安全的架构、技术与实践》ISBN：9787115515278一本面向研发技术人员的安全书，帮助他们在项目研发过程中规避风险：●针对PHP研发人员的项目安全高级指南
人民邮电出版社·2020-01-02 14:56

PHP代码审计-常见危险函数

PHP代码执行函数eval&assert&preg_replaceeval函数php官方手册：http://php.net/manual/zh/function.eval.phpeval(PHP4,PHP5,PHP7)eval——把字符串作为PHP代码执行说明:mixedeval(string$code)把字符串code作为PHP代码执行。注意：函数eval()语言结构是非常危险的，因为它允许执行
xaviershun·2019-12-30 09:58

PHP代码审计

常见的导致文件包含的函数有：PHP：include()``include_once()``require()``require_once()fopen()readfile()等JSP/Servlet：ava.io.File()``java.io.FileReader()等ASP：includefile``includevirtual等当PHP包含一个文件时，会将该文件当做PHP代码执行，而不会在意
寻梦xunm·2019-12-29 17:37

怎样来php代码审计

这篇是关于php；常见的也是php的代码审计，类似java框架，asp.net，python的Django还是有漏洞之类的，只是比较固定和稀少；像php这种语言本身就是弱语言类型（很多点都利用了弱类型比较和转换），功能函数也是奇多（导致了其与sql，xml等语言的花式组合），加之处理一个问题的方法也是奇多（其中就难保不会出现漏洞）当然php的thinkphp框架，有机会来（这款框架就安全性没有其他
合天智汇·2019-12-28 16:37

php面试题之PHP核心技术

（新浪）safe_mode，PHP安全模式，它提供一个基本安全的共享环境，在一个有
程序媛的明天·2019-12-27 21:00

php配置

阅读书籍:《代码审计企业级Web代码安全架构》php安全配置1.register_globals（全局变量注册开关）会把用户GET、POST等方式提交上来的参数注册成全局变量并初始化为参数对应的值。
涟漪消散·2019-12-18 19:00

PHP安全之道3：常见漏洞和攻防

第一篇SQL注入安全配置和编程安全并不是万全之法，攻击者往往可以通过对漏洞的试探找到新的突破口，甚至0days。下面总结以下常见漏洞，在日常开发维护工作中可以留意。*聊聊老朋友：SQL注入漏洞多年前我还在念本科三年级的时候就做了一次关于SQL注入的攻防实验，SQL注入在WEB1.0时代是非常常见的攻击手段，特别是一些远古时期的ASP、PHP站点，往往容易被注入提权。简单来说SQL注入就是利用url
freephp·2019-12-07 15:00

PHP安全之道学习笔记4：系统命令注入

系统命令注入我们有时候写代码会用php脚本去调用系统函数完成业务功能，但是一些系统函数属于高危操作，一旦被webshell或者抓住漏洞则后患极大。下面整理如下风险系统函数.exec()函数该函数可以执行系统命令，并且返回输出结果到$output中。具体使用请参考官网。例如用户访问http://localhost/exec.php?cmd=ls-al,cmd中的命令将被执行.
freephp·2019-12-07 15:00

从0到1学习网络安全 【制作一匹过狗马】

3.php安全狗，D盾告警分别如下：安全狗告警.pngD盾告警.pngStep2：在原有代码上添加方法把执行命令那段代码括起来，安全狗绕过。2.phpD盾依然告警(内藏可疑变量函数)：D盾告
_xiaoYan·2019-12-02 10:20

架构师必须知道的26项PHP安全实践

架构师必须知道的26项PHP安全实践PHP是一种开源服务器端脚本语言，应用很广泛。Apacheweb服务器提供了这种便利：通过HTTP或HTTPS协议，访问文件和内容。
meng_philip123·2019-12-01 04:26

PHP安全之道学习笔记2：编码安全指南

编码安全指南编程本身就应该是一门艺术，而安全编程更是一种在刀尖上舞蹈的艺术，不仅要小心脚下的锋利寒刃，更要小心来自网络黑客或攻击者的狂轰乱炸。-bycodeartist1.hash比较的缺陷经过试验发现，当Hash值以"0e"开头且后面都为数字，当和数字进行比较的时候总会被判断和0相等例如:var_dump('0e1327544'==0);//bool(true)当密码被md5计算后，可能会以"0
freephp·2019-11-27 20:00

PHP安全之道学习笔记1：PHP项目安全设置

在全球范围来看，超过了80%的网站是使用php进行搭建的，由于脚本语言和早期版本设计的诸多原因，php项目存在不少安全隐患。从配置选项来看，可以做如下的优化。1.屏蔽PHP错误输出。在/etc/php.ini(默认配置文件位置)，将如下配置值改为Offdisplay_errors=Off不要将错误堆栈信息直接输出到网页上，防止黑客加以利用相关信息。正确的做法是：把错误日志写到日志文件中，方便排查问
freephp·2019-11-25 22:00

PHP安全过滤与常用函数总结

1.安全过滤类-通用数据过滤/***安全过滤类-通用数据过滤*Controller中使用方法：$this->controller->fliter_escape($value)*@paramstring$value需要过滤的变量*@returnstring|array*/functionfliter_escape($value){if(is_array($value)){foreach($value
Man-Li·2019-10-17 14:11

PHP代码审计基础-高级篇

高级篇主要讲1.熟知各个开源框架历史版本漏洞。2.业务逻辑漏洞3.多线程引发的漏洞4.事务锁引发的漏洞在高级篇审计中有很多漏洞正常情况下是不存在的只有在特殊情况下才有PHP常用框架Zendframwork，Yii，Laravel，、ThinkPHP这里举例因为thinkphp由国内人开发用户量较多而且历史漏洞也多Thinkphp历史漏洞很多，对于漏洞形成原因可以自己复现。篇幅有限只介绍披露漏洞Qu
痱子﹑·2019-10-08 19:00

PHP代码审计基础-高级篇

高级篇主要讲1.熟知各个开源框架历史版本漏洞。2.业务逻辑漏洞3.多线程引发的漏洞4.事务锁引发的漏洞在高级篇审计中有很多漏洞正常情况下是不存在的只有在特殊情况下才有PHP常用框架Zendframwork，Yii，Laravel，、ThinkPHP这里举例因为thinkphp由国内人开发用户量较多而且历史漏洞也多Thinkphp历史漏洞很多，对于漏洞形成原因可以自己复现。篇幅有限只介绍披露漏洞Qu
痱子，持续学习ing·2019-10-08 19:00

PHP代码审计基础-中级篇

初级篇更多是对那些已有的版本漏洞分析，存在安全问题的函数进行讲解，中级篇更多是针对用户输入对漏洞进行利用中级篇更多是考虑由用户输入导致的安全问题。预备工具首先要有php本地环境可以调试代码总结就是1.可以控制的变量【一切输入都是有害的】2.变量到达有利用价值的函数[危险函数]【一切进入函数的变量是有害的】程序的本质是变量与函数，我们审计的漏洞也无法摆脱这两个元素，让我们先来看下漏洞形成的条件漏洞的
痱子﹑·2019-10-08 19:00

PHP代码审计基础-中级篇

初级篇更多是对那些已有的版本漏洞分析，存在安全问题的函数进行讲解，中级篇更多是针对用户输入对漏洞进行利用中级篇更多是考虑由用户输入导致的安全问题。预备工具首先要有php本地环境可以调试代码总结就是1.可以控制的变量【一切输入都是有害的】2.变量到达有利用价值的函数[危险函数]【一切进入函数的变量是有害的】程序的本质是变量与函数，我们审计的漏洞也无法摆脱这两个元素，让我们先来看下漏洞形成的条件漏洞的
痱子，持续学习ing·2019-10-08 19:00

PHP代码审计基础-初级篇

对于php代码审计我也是从0开始学的，对学习过程进行整理输出沉淀如有不足欢迎提出共勉。
痱子﹑·2019-10-08 18:00

XCTF两个PHP代码审计的笔记

题目源码如下，考点是输入的$id和$row['id']的区别关键在于红框内，可以知道题目的payload是要让$row['id']存在，查询的到数据，并且要让POST的id不能与adog相同。那显而易见，肯定是要你输入的id！==adog，并且需要绕过$row['id']的限制。从P牛blog里，学到的一手姿势。自己用mysqlFUZZ测试下，从这里可以查看$row['id']和$id的区别";}
yunying·2019-09-30 13:00

分享十款最出色的PHP安全开发库中文详细介绍

1.PHP入侵检测系统PHPIDS(即PHP-入侵检测系统)是一套易于使用、结构良好、速度出色且专门面向PHP类Web应用程序的先进安全层。这套入侵检测系统既不提供任何缓和及杀毒机制，也不会对恶意输入内容进行过滤，其作用单纯为识别出攻击者们针对站点进行的恶意活动、并以大家需要的方式作出及时提醒。凭借着一整套经过实践检验及相当严格的过滤规则，该检测系统会针对任何攻击活动给出一个影响评级数值，从而帮助
·2019-09-25 02:24

推荐一本PHP程序猿都应该拜读的书

我总是对此持反对意见，因为有常识性的原因，有如此多的PHP安全违反现象。PHP应用程序经常被黑掉是由于：PHP应用程序太多了。它易于学习和编写。糟糕的PHP也容易编写。就是这么简单。
·2019-09-25 02:11

制作安全性高的PHP网站的几个实用要点

所以在这篇教学文章中，我们将大致看看几个实用的技巧来让你避免一些常见的PHP安全问题。
·2019-09-25 02:01

提升PHP安全：8个必须修改的PHP默认配置

很明显，PHP+Mysql+Apache是很流行的web技术，这个组合功能强大，可扩展性强，还是免费的。然而，PHP的默认设置对已经上线的网站不是那么适合。下面通过修改默认的配置文件加强PHP的安全策略！0x01：禁用远程url文件处理功能像fopen的文件处理函数，接受文件的rul参数(例如：fopen('http://www.yoursite.com','r')).)，这个功能可以很轻松的访问
·2019-09-25 01:45

PHP安全配置

一、CGI模式安装安全二、以Apache模块安装安全当PHP以Apache模块方式安装时，它将继承Apache用户（通常为“nobody”）的权限。这对安全和认证有一些影响。比如，如果用PHP来访问数据库，除非数据库有自己的访问控制，否则就要使“nobody”用户可以访问数据库。这意味着恶意的脚本在不用提供用户名和密码时就可能访问和修改数据库。一个webSpider也完全有可能偶然发现数据库的管理
·2019-09-24 20:37

浅谈php安全性需要注意的几点事项

在放假之初，我抽时间看了《白帽子讲web安全》，吴翰清基本上把web安全中所有能够遇到的问题、解决思路归纳总结得很清晰，也是我这一次整体代码安全性的基石。我希望能分如下几个方面来分享自己的经验把握整站的结构，避免泄露站点敏感目录在写代码之初，我也是像很多老源码一样，在根目录下放上index.php、register.php、login.php，用户点击注册页面，就跳转到http://localho
·2019-09-23 18:18

php中eval函数的危害与正确禁用方法

但是eval()对于php安全来说具有很大的杀伤力，因此一般不用的情况下为了防止类似如下的一句话木马入侵，需要禁止！
·2019-09-23 18:48

PHP安全的URL字符串base64编码和解码

如果直接使用base64_encode和base64_decode方法的话，生成的字符串可能不适用URL地址。下面的方法可以解决该问题：URL安全的字符串编码：复制代码代码如下:functionurlsafe_b64encode($string){$data=base64_encode($string);$data=str_replace(array('+','/','='),array('-',
·2019-09-23 18:11

PHP安全配置

PHP安全配置一、Web服务器安全PHP其实不过是Web服务器的一个模块功能，所以首先要保证Web服务器的安全。当然Web服务器要安全又必须是先保证系统安全，这样就扯远了，无穷无尽。
·2019-09-23 18:57

php安全配置记录和常见错误梳理(总结)

通常部署完php环境后会进行一些安全设置，除了熟悉各种php漏洞外，还可以通过配置php.ini来加固PHP的运行环境，PHP官方也曾经多次修改php.ini的默认设置。下面对php.ini中一些安全相关参数的配置进行说明register_globals当register_globals=ON时，PHP不知道变量从何而来，也容易出现一些变量覆盖的问题。因此从最佳实践的角度，强烈建议设置regist
·2019-09-22 20:06

php token使用与验证示例【测试可用】 原创

验证可有效的防止非法来源数据提交访问，增加数据操作的安全性二、实现方法：前台form表单："/>"/>"/>后台do.php的token验证部分：更多关于PHP相关内容感兴趣的读者可查看本站专题：《php程序设计安全教程》、《php
·2019-09-21 23:25

2019-09-21记录

打开php安全模式safe_mode=on控制访问目录safe_mode_exec_dirdisable_functions=dir,chroot,fopen,mkdirmagic_quotes_gpcmysql_real_escape_stringphp
林明潭·2019-09-21 21:09

php解决安全问题的方法实例

PHP安全配置(1)打开php的安全模式php的安全模式是个非常重要的内嵌的安全机制，能够控制一些php中的函数，比如system()，同时把很多文件操作函数进行了权限控制，也不允许对某些关键文件的文件
(*-*)浩·2019-09-19 16:13

关于PHP代码审计的一些题目

题目一：解题思路：先看preg_replace函数定义这里用到了一个小技巧，用到/e（有些php版本不支持，我这里是可以的），这个修饰符的意思就是让正则替换的时候替换规则支持php代码，所以我们这里构造一些命令来绕过代码，如下图所示：题目二跟上题的函数一样这里主要是用了正则表达式\是转义符.表示匹配所有字符*通配符\1的意思是第一个是转意标签，而\1代表第一个()里面部分匹配的字符串。所以我们这里
Animation77·2019-09-07 13:30

java和php安全性对比

语言选择不决定代码稳定与否与可维护性高低，这两者主要取决于写的代码本身。java是一种工业级的编程语言。无论使用者水平如何，java开发出来的程序不会太差。JAVA是一门强类型的静态语言，几乎什么都能做。而PHP只是一个超文本解释器而已，它的诞生之初只是为了网页动态化。JAVA大小写敏感，PHP对函数名、方法名、类名是不区分大小写的。这在生产中容易导致问题，比如window系迁移至类Unix系。P
wx5d68c4cb78455·2019-09-07 11:12

面试系列 -- PHP后端面试常见问题总结

PHP安全知识PHP关键配置项有哪些如何防止Sql注入PHP的生命周期/启动流程说一下PHP的（内存）垃圾回收机制数组的底层实现PHP常见运行模
躬行者·2019-09-04 00:00

php代码审计（一）phpBug#69892

phpbug#69892Description:------------var_dump([0=>0]===[0x100000000=>0]);//bool(true)题目代码：#Challenge
CliffordWR·2019-08-31 09:57

php代码审计（一）phpBug#69892

phpbug#69892Description:------------var_dump([0=>0]===[0x100000000=>0]);//bool(true)题目代码：#Challenge
CliffordWR·2019-08-31 09:57

网络安全思维导图收藏

运维安全渗透的艺术渗透测试浏览器安全思维导图情报收集脑图密码找回逻辑漏洞安全运维脑图企业安全防御思维导图代码审计的溢出脑图业务安全top10xssvirus1.0XSS1脑图XSS2脑图XML安全汇总Web应用安全SSRF脑图SQLmap脑图PHP
lyshark·2019-08-30 19:00

PHP代码审计总结

当你的才华还撑不起你的野心时那你就应该静下心来学习代码审计学习线上实验，都是CE一边实操，一边整理的笔记，方便以后翻看时，可快速查阅.这是代码审计最后一篇，对前面所学进行总结目录二、代码执行漏洞三、命令注入漏洞四、XSS漏洞五、CSRF漏洞六、SQL注入漏洞七、文件包含漏洞八、文件上传漏洞九、变量覆盖漏洞十、身份认证漏洞漏洞防范二、代码执行漏洞什么是代码执行漏洞？答：字符串转化成代码的函数时，没有
Causal_Escap·2019-08-01 15:46

PHP代码审计：RIPS 代码审计工具

原文链接：https://www.shiyanlou.com/courses/895当你的才华还撑不起你的野心时那你就应该静下心来学习代码审计学习线上实验，都是CE一边实操，一边整理的笔记，方便以后翻看时，可快速查阅。目录代码执行漏洞工具介绍RIPS使用教程总结代码执行漏洞代码审计工具可以辅助我们进行白盒测试，大大提高漏洞分析和代码挖掘的效率。常用的代码审计工具之后，选取其中的PHP源码审计工具—
Causal_Escap·2019-08-01 08:09

PHP代码审计：RIPS 代码审计工具

原文链接：https://www.shiyanlou.com/courses/895当你的才华还撑不起你的野心时那你就应该静下心来学习代码审计学习线上实验，都是CE一边实操，一边整理的笔记，方便以后翻看时，可快速查阅。目录代码执行漏洞工具介绍RIPS使用教程总结代码执行漏洞代码审计工具可以辅助我们进行白盒测试，大大提高漏洞分析和代码挖掘的效率。常用的代码审计工具之后，选取其中的PHP源码审计工具—
Causal_Escap·2019-08-01 08:09

PHP代码审计：身份认证漏洞

原文链接：https://www.shiyanlou.com/courses/895当你的才华还撑不起你的野心时那你就应该静下心来学习代码审计学习线上实验，都是CE一边实操，一边整理的笔记，方便以后翻看时，可快速查阅。目录身份认证漏洞简介cookie身份认证漏洞seesionid固定漏洞漏洞防范•cookie身份认证漏洞防范session固定漏洞防御身份认证漏洞认证的目的是为了认出用户是谁，而授权
Causal_Escap·2019-08-01 01:00

PHP代码审计：变量覆盖漏洞

原文链接：https://www.shiyanlou.com/courses/895当你的才华还撑不起你的野心时那你就应该静下心来学习代码审计学习线上实验，都是CE一边实操，一边整理的笔记，方便以后翻看时，可快速查阅。目录变量覆盖漏洞一、简介•extract()函数•parse_strc()函数•import_request_variables()函数二、漏洞利用三、漏洞防范extract()函数
Causal_Escap·2019-08-01 00:27

夏令营集训2--web安全

Web题目分类：1.源码获取，扫描，弱密码爆破，js绕过2.Php代码审计，弱类型比较3.文件上传，文件包含4.序列化与反序列化5.Sql注入6.Xss跨站脚本攻击Web的基础知识1.了解HTTP协议：
MIGENGKING·2019-07-16 23:13

黑客资源免费分享

攻防测试手册https://micropoor.blogspot.com/2019/01/php8.htmlPHP安全新闻早8点课程系列高持续渗透--Micropororhttps://github.com
Odysseus_lpy·2019-07-12 09:39

PHP代码审计基础_漏洞银行_笔记整理（一）

PHP主要适用于Web开发领域用户输入经过操作，进入危险函数，执行危险操作用户输入指GPCSF、数据库、文件等输入点，危险函数包括include、system等。用户输入的危险操作要是被转义或者过滤就不能被执行成功（这也是我们写代码时要注意的，代码中得有过滤和转义部分，以防留下非常简单的漏洞）人工审计(1)跟踪用户可控的输入，比如GET参数，看它到哪一步，是否进入危险函数中；(2)找到危险函数，看
Sandra_93·2019-07-06 19:56

LANMP安全配置之Nginx安全配置

0x00前言比起前几篇的Apache安全配置、PHP安全配置、Mysql安全配置，对Nginx的了解巨少，没怎么用过除了知道Nginx解析漏洞就啥也不知道了好了，开始学习0x01账户权限管理1.1更改默认用户名
·2019-06-20 00:00

Writeup 实验吧/WEB/FALSE/1787 【PHP代码审计】

http://www.shiyanbar.com/ctf/1787http://ctf5.shiyanbar.com/web/false.php0x00查看php源码Yourpasswordcannotbeyourname!';elseif(sha1($_GET['name'])===sha1($_GET['password']))die('Flag:'.$flag);elseecho'Inval
growing27·2019-06-19 16:20
上一页 5 6 7 8 9 10 11 12 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他