来自 电脑系统 2019-12-18 20:48 的文章
当前位置: 金沙澳门官网网址 > 电脑系统 > 正文

10条php编程小技巧_php技巧_脚本之家

1、写程序的时候会用到这种情况,比如对一个数字进行四舍五入取整。很多人会这样写:复制代码 代码如下:input aif a - int >= 0.5 thena = a +1end if其实这个判断语句可以使用一个很简单的表达式来写复制代码 代码如下:a = fix用php写作:复制代码 代码如下:$a = intval($a + 0.5 * ;

浅谈Php安全和防Sql注入,防止Xss攻击,防盗链,防CSRF

假设 a为 4.4 那么 a+0.5 = 4.9 intval()以后为4 ,假设a为4.6 a+0.5=5.1 那么intval()以后则为5,因此实现了四舍五入。正数+0.5 , 负数则-0.5。

前言:

如果说四舍五入保留2位小数也同理。复制代码 代码如下:$a = intval(a * 100 + 0.5 * /100。 2、 求如果a-b的值,如果小于0则取0,可以写城复制代码 代码如下:$result = max;3、导入数据时,可以选择采用csv格式 php对getcsv处理起来非常方便。

首先,笔者不是web安全的专家,所以这不是web安全方面专家级文章,而是学习笔记、细心总结文章,里面有些是我们phper不易发现或者说不重视的东西。所以笔者写下来方便以后查阅。在大公司肯定有专门的web安全测试员,安全方面不是phper考虑的范围。但是作为一个phper对于安全知识是:“知道有这么一回事,编程时自然有所注意”。

4、在替换字符串方面 str_replace()比正则表达式更高效。实际上,根据Making the Web所说,str_replace和 preg_replace()这样的正则表达式效率要高61%。

目录:1、php一些安全配置关闭一些“坏功能”严格配置文件权限。2、严格的数据验证,你的用户不全是“好”人2.1为了确保程序的安全性,健壮性,数据验证应该包括内容。2.2程序员容易漏掉point或者说需要注意的事项3、防注入 3.1简单判断是否有注入漏洞以及原理 3.2常见的mysql注入语句 在不输入密码的情况下,利用某用户 插入数据时提权恶意更新和删除通配符号%、_还有很多猜测表信息的注入sql 33防注入的一些方法 2.3.1 php可用于防注入的一些函数和注意事项。 2.3.2防注入字符优先级。2.3.3防注入代码 函数 文本数据防注入代码。当然还有其他与addslashes、mysql_escape_string结合的代码。4、防止xss攻击4.1Xss攻击过程4.2常见xss攻击地方4.3防XSS方法5、CSRF5.1简单说明CSRF原理5.2防范方法6、防盗链7、防拒CC攻击

5、if

1、php一些安全配置

6、用isset判断变量和元素是否存在速度较高

关闭php提示错误功能

7、尽量使用三目运算

在php.ini 中把display_errors改成复制代码 代码如下:display_errors = OFF或在php文件前加入复制代码 代码如下:error_reporting使用error_reporting;失败的例子:

8、适当写if行语句。适当在function内使用return语句 减少分支

A文件代码:复制代码 代码如下: error_reporting; echo 555 echo 444; ?>错误:复制代码 代码如下:Parse error: parse error, expecting `','' or `';'' in E:webphp2.php on line 42)使用error_reporting;成功的例子:a文件代码:复制代码 代码如下:b文件代码:复制代码 代码如下:这是很多phper说用error_reporting不起作用。第一个例子A.php里面有致命错误,导致不能执行,不能执行服务器则不知有这个功能,所以一样报错。

9、使用memcache mogodb等降低程序与数据库负担

第二个例子中a.php成功执行,那么服务器知道有抑制错误功能,所以就算b.php有错误也抑制了。

10、临时数据可以使用sqllite记录

ps:抑制不了mysql错误。

关闭一些“坏功能”

1)关闭magic quotes功能在php.ini 把magic_quotes_gpc = OFF避免和addslashes等重复转义

2)关闭register_globals = Off

在php.ini 把register_globals = OFF

在register_globals = ON的情况下

地址栏目://www.jb51.net?bloger=benwin复制代码 代码如下:

这种情况下会导致一些未初始化的变量很容易被修改,这也许是致命的。所以把register_globals = OFF关掉

严格配置文件权限。

为相应文件夹分配权限,比如包含上传图片的文件不能有执行权限,只能读取

2、严格的数据验证,你的用户不全是“好”人。

记得笔者和一个朋友在讨论数据验证的时候,他说了一句话:你不要把你用户个个都想得那么坏!但笔者想说的这个问题不该出现在我们开发情景中,我们要做的是严格验证控制数据流,哪怕10000万用户中有一个是坏用户也足以致命,再说好的用户也有时在数据input框无意输入中文的时,他已经不经意变“坏”了。

2.1为了确保程序的安全性,健壮性,数据验证应该包括

关键数据是否存在。如删除数据id是否存在 数据类型是否正确。如删除数据id是否是整数类型则要strlen判断数据长度 数据是否有危险字符

数据验证有些人主张是把功能完成后再慢慢去写安全验证,也有些是边开发边写验证。笔者偏向后者,这两种笔者都试过,然后发现后者写的验证相对健壮些,主要原因是刚开发时想到的安全问题比较齐全,等开发完功能再写时有两个问题,一个phper急于完成指标草草完事,二是确实漏掉某些point。2.2程序员容易漏掉point或者说需要注意的事项:

进库数据一定要安全验证,笔者在广州某家公司参与一个公司内部系统开发的时候,见过直接把$_POST数据传给类函数classFunctionName,理由竟然是公司内部使用的,不用那么严格。暂且不说逻辑操作与数据操控耦合高低问题,连判断都没判断的操作是致命的。安全验证必须,没任何理由推脱。 数据长度问题,如数据库建表字段char,大多phper考虑到是否为空、数据类型是否正确,却忽略字符长度,忽略还好更多是懒于再去判断长度。(这个更多出现在新手当中,笔者曾经也有这样的思想) 以为前端用js判断验证过了,后台不需要判断验证。这也是致命,要知道伪造一个表单就几分钟的事,js判断只是为了减少用户提交次数从而提高用户体验、减少http请求减少服务器压力,在安全情况下不能防“小人”,当然如果合法用户在js验证控制下是完美的,但作为phper我们不能只有js验证而抛弃再一次安全验证。 缺少对表单某些属性比如select、checkbox、radio、button等的验证,这些属性在web页面上开发者已经设置定其值和值域,这些属性值在js验证方面一般不会验证,因为合法用户只有选择权没修改权,然后phper就在后端接受数据处理验证数据的时候不会验证这些数据,这是一个惯性思维,安全问题也就有了,小人一个伪表单。 表单相应元素name和数据表的字段名一致,如用户表用户名的字段是user_name,然后表单中的用户名输入框也是user_name,这和暴库没什么区别。 过滤危险字符方面如防注入下面会独立讲解。

3、防注入

3.1简单判断是否有注入漏洞以及原理。

网址://www.jb51.net/benwin.php?id=1 运行正常,sql语句如:select * from phpben where id = 1

网址://www.jb51.net/benwin.php?id=1' sql语句如:select * from phpben where id = 1' 然后运行异常 这能说明benwin.php文件没有对id的值进行“'” 过滤和intval()整形转换,当然想知道有没有对其他字符如“%”,“/*”等都可以用类似的方法穷举测试网址://www.jb51.net/benwin.php?id=1 and 1=1 则sql语句可能是 select * from phpben where id = 1 and 1=1,运行正常且结果和//www.jb51.net/benwin.php?id=1结果一样,则说明benwin.php可能没有对空格“ ”、和“and”过滤网址://www.jb51.net/benwin.php?id=1 and 1=2则sql语句可能是 select * from phpben where id = 1 and 1=2 如果运行结果异常说明sql语句中“and 1=2”起作用,所以能3个条件都满足都则很确定的benwin.php存在注入漏洞。

ps:这里用get方法验证,post也可以,只要把值按上面的输入,可以一一验证。

3.2常见的mysql注入语句。

不用用户名和密码复制代码 代码如下://正常语句 $sql ="select * from phpben where user_name='admin' and pwd ='123'"; //在用户名框输入'or'='or'或 'or 1='1 然后sql如下 $sql ="select * from phpben where user_name=' 'or'='or'' and pwd ='' "; $sql ="select * from phpben where user_name=' 'or 1='1' and pwd ='' ";这样不用输入密码。话说笔者见到登录框都有尝试的冲动。

在不输入密码的情况下,利用某用户。复制代码 代码如下://正常语句 $sql ="select * from phpben where user_name='$username' and pwd ='$pwd'"; //利用的用户名是benwin 则用户名框输入benwin'# 密码有无都可,则$sql变成 $sql ="select * from phpben where user_name=' benwin'#' and pwd ='$pwd'";这是因为mysql中其中的一个注悉是“#”,上面语句中#已经把后面的内容给注悉掉,所以密码可以不输入或任意输入。网上有些人介绍说用“/*”来注悉,笔者想提的是只有开始注悉没结束注悉“*/”时,mysql会报错,也不是说“/**/”不能注悉,而是这里很难添加上“*/”来结束注悉,还有“– ”也是可以注悉mysql 但要注意“–”后至少有一个空格也就是“– ”,当然防注入代码要把三种都考虑进来,值得一提的是很多防注入代码中没把“– ”考虑进防注入范围。

猜解某用户密码复制代码 代码如下://正常语句 $sql ="select * from phpben.com where user_name='$username' and pwd ='$pwd'"; //在密码输入框中输入“benwin' and left='p'#”,则$sql是 $sql ="select * from phpben.com where user_name=' benwin' and left='p'#' and pwd ='$pwd'";如果运行正常则密码的密码第一个字符是p,同理猜解剩下字符。

插入数据时提权复制代码 代码如下://正常语句,等级为1 $sql = "insert into phpben.com (`user_name`,`pwd`,`level`) values "; //通过修改密码字符串把语句变成 $sql = "insert into phpben.com (`user_name`,`pwd`,`level`) values#',1) "; $sql = "insert into phpben.com (`user_name`,`pwd`,`level`) values-- ',1) ";这样就把一个权限为1的用户提权到等级5更新提权和插入提权同理复制代码 代码如下://正常语句 $sql = "update phpben set `user_name` ='benwin', level=1"; //通过输入用户名值最终得到的$sql $sql = "update phpben set `user_name` ='benwin',level=5#', level=1"; $sql = "update phpben set `user_name` ='benwin',level=5-- ', level=1";恶意更新和删除复制代码 代码如下://正常语句 $sql = "update phpben set `user_name` = ‘benwin' where id =1"; //注入后,恶意代码是“1 or id>0” $sql = "update phpben set `user_name` = ‘benwin' where id =1 or id>0"; //正常语句 $sql = "update phpben set `user_name` ='benwin' where id=1"; //注入后 $sql = "update phpben set `user_name` ='benwin' where id>0#' where id=1"; $sql = "update phpben set `user_name` ='benwin' where id>0-- ' where id=1";union、join等复制代码 代码如下://正常语句 $sql ="select * from phpben1 where `user_name`='benwin' "; //注入后 $sql ="select * from phpben1 where`user_name`='benwin' uninon select * from phpben2#' "; $sql ="select * from phpben1 where`user_name`='benwin' left join……#' ";通配符号%、_复制代码 代码如下://正常语句 $sql ="select * from phpben where `user_name`='benwin' "; //注入通配符号%匹配多个字符,而一个_匹配一个字符,如__则匹配两个字符 $sql ="select * from phpben where `user_name` like '%b' "; $sql ="select * from phpben where `user_name` like '_b_' ";这样只要有一个用户名字是b开头的都能正常运行,“ _b_”是匹配三个字符,且这三个字符中间一个字符时b。这也是为什么有关addslashes()函数介绍时提示注意没有转义%和_(其实这个是很多phper不知问什么要过滤%和_下划线,只是一味的跟着网上代码走)

还有很多猜测表信息的注入sql复制代码 代码如下://正常语句 $sql ="select * from phpben1 where`user_name`='benwin'"; //猜表名,运行正常则说明存在phpben2表 $sql ="select * from phpben1 where`user_name`='benwin' and from phpben2 )>0#' "; //猜表字段,运行正常则说明phpben2表中有字段colum1 $sql ="select * from phpben1 where`user_name`='benwin' and from phpben2 )>0#'"; //猜字段值 $sql ="select * from phpben1 where`user_name`='benwin' and left='p'#''";

当然还有很多,笔者也没研究到专业人士那种水平,这里提出这些都是比较常见的,也是phper应该知道并掌握的,而不是一味的在网上复制粘贴一些防注入代码,知然而不解其然。

下面一些防注入方法回看可能更容易理解。

3.3防注入的一些方法

3.3.1 php可用于防注入的一些函数和注意事项。

addslashes 和stripslashes。

Addslashes给这些 “'”、“””、“”,“NULL” 添加斜杆“'”、“””、“\”,“NULL”, stripslashes则相反,这里要注意的是php.ini是否开启了magic_quotes_gpc=ON,开启若使用addslashes会出现重复。所以使用的时候要先get_magic_quotes_gpc()检查

一般代码类似:复制代码 代码如下:if(!get_magic_quotes_gpc { $abc = addslashes; }其实这个稍微学习php一下的人都知道了,只不过笔者想系统点介绍,所以也顺便写上了。addslashes

mysql_escape_string()和mysql_ real _escape_string()

mysql_real_escape_string 必须在(PHP 4 >= 4.3.0, PHP 5)的情况下才能使用。否则只能用 mysql_escape_string复制代码 代码如下:if { $string = mysql_real_escape_string; }else { $string = mysql_escape_string; }mysql_escape_string()和mysql_ real _escape_string()却别在于后者会判断当前数据库连接字符集,换句话说在没有连接数据库的前提下会出现类似错误:复制代码 代码如下:Warning: mysql_real_escape_string() [function.mysql-real-escape-string]: Access denied for user 'ODBC'@'localhost' in E:webphptest.php on line 11字符代替函数和匹配函数str_replace这些函数之所以也在这里提是因为这些函数可以用于过滤或替代一些敏感、致命的字符。

3.3.2防注入字符优先级。

防注入则要先知道有哪些注入字符或关键字,常见的mysql注入字符有字符界定符号如“'”、“””;逻辑关键字如“and”、“or”;mysql注悉字符如“#”,“– ”,“/**/”;mysql通配符“%”,“_”;mysql关键字“select|insert|update|delete|*|union|join|into|load_file|outfile”

对于一些有规定格式的参数来说,防注入优先级最高的是空格” ”。

如一些银行卡号,身份证号,邮箱,电话号码,,生日,邮政编码等这些有自己规定的格式且格式规定不能有空格符号的参数,在过滤的时候一般最先过滤掉空格,因为其他字符界定符号,逻辑关键字,mysql注悉,注意下图可以看出重要的是“'”,“ ”

ps:空格字符的变种有:“%20”,“n”,“r”,“rn”,“nr”,“chr” 这也是为什么mysql_escape_string()和mysql_real_escape_string() 两个函数转义“n”,“r”。其实很多phper只知道转义n,r而不知原因,在mysql解析n,r时把它们当成空格处理,笔者测试验证过,这里就不贴代码了。

“and”,“or”,“”,“#”,“– ”

本文由金沙澳门官网网址发布于电脑系统,转载请注明出处:10条php编程小技巧_php技巧_脚本之家

关键词: