日本人も中国人も汉字を,日本MACBOOKPRO高清,1819岁MACBOOK日本,欧洲尺码日本尺码专线,GOGOGO日本免费观看电视剧

寶安新聞資訊

探知 ? 創(chuàng)造美好

不斷超越客戶的期望值,源自我們對這個(gè)行業(yè)的熱愛

公司網(wǎng)站常見安全漏洞及防御方法

來源:http://www.wenyidai.com| 2022-06-25 01:50:02

目前,基于PHP的網(wǎng)站開發(fā)已經(jīng)成為目前網(wǎng)站開發(fā)的主流,向揚(yáng)小編從PHP網(wǎng)站攻擊與安全防范方面進(jìn)行探究,旨在減少網(wǎng)站漏洞,希望對大家有所幫助!?一、常見PHP網(wǎng)站安全漏洞對于PHP的漏洞,目前常見的漏洞有五種。

東莞網(wǎng)站設(shè)計(jì)
分別是Session文件漏洞、SQL注入漏洞、腳本命令執(zhí)行漏洞、全局變量漏洞和文件漏洞。
東莞網(wǎng)頁設(shè)計(jì)
這里分別對這些漏洞進(jìn)行簡要的介紹。?1、session文件漏洞?Session攻擊是黑客最常用到的攻擊手段之一。當(dāng)一個(gè)用戶訪問某一個(gè)網(wǎng)站時(shí),為了免客戶每進(jìn)人一個(gè)頁面都要輸人賬號和密碼,PHP設(shè)置了Session和Cookie用于方便用戶的使用和訪向。?2、SQL注入漏洞?在進(jìn)行網(wǎng)站開發(fā)的時(shí)候,程序員由于對用戶輸人數(shù)據(jù)缺乏全面判斷或者過濾不嚴(yán)導(dǎo)致服務(wù)器執(zhí)行一些惡意信息,比如用戶信息查詢等。黑客可以根據(jù)惡意程序返回的結(jié)果獲取相應(yīng)的信息。這就是月行胃的SQL注入漏洞。?3、腳本執(zhí)行漏洞?腳本執(zhí)行漏洞常見的原因是由于程序員在開發(fā)網(wǎng)站時(shí)對用戶提交的URL參數(shù)過濾較少引起的,用戶提交的URL可能包含惡意代碼導(dǎo)致跨站腳本攻擊。腳本執(zhí)行漏洞在以前的PHP網(wǎng)站中經(jīng)常存在,但是隨著PHP版本的升級,這些間題已經(jīng)減少或者不存在了。?4、全局變量漏洞?PHP中的變量在使用的時(shí)候不像其他開發(fā)語言那樣需要事先聲明,PHP中的變量可以不經(jīng)聲明就直接使用,使用的時(shí)候系統(tǒng)自動創(chuàng)建,而且也不需要對變 量類型進(jìn)行說明,系統(tǒng)會自動根據(jù)上下文環(huán)境自動確定變量類型。這種方式可以大大減少程序員編程中出錯(cuò)的概率,使用起來非常的方便。?5、文件漏洞?文件漏洞通常是由于網(wǎng)站開發(fā)者在進(jìn)行網(wǎng)站設(shè)計(jì)時(shí)對外部提供的數(shù)據(jù)缺乏充分的過濾導(dǎo)致黑客利用其中的漏洞在Web進(jìn)程上執(zhí)行相應(yīng)的命令。假如在 lsm.php中包含這樣一段代碼:include($b.”/aaa.php”.),這對黑客來說,可以通過變量$b來實(shí)現(xiàn)遠(yuǎn)程攻擊,可以是黑客自已的代碼,用來實(shí)現(xiàn)對網(wǎng)站的攻擊。可以向服務(wù)器提交a.php include=http://lZ7.0.0. 1/b.php,然后執(zhí)行b.php的指令。?二、PHP常見漏洞的防范措施1、對于Session漏洞的防范?從前面的分析可以知道,Session攻擊最常見的就是會話劫持,也就是黑客通過各種攻擊手段獲取用戶的Session ID,然后利用被攻擊用戶的身份來登錄相應(yīng)網(wǎng)站。為此,這里可以用以下幾種方法進(jìn)行防范:一是定期更換Session ID,更換Session ID可以用PHP自帶函數(shù)來實(shí)現(xiàn);二是更換Session名稱,通常情況下Session的默認(rèn)名稱是PHPSESSID,這個(gè)變量一般是在cookie中保存的,如果更改了它的名稱,就可以阻檔黑客的部分攻擊;三是對透明化的Session ID進(jìn)行關(guān)閉處理,所謂透明化也就是指在http請求沒有使用cookies來制定Session id時(shí),Sessioin id使用鏈接來傳遞.關(guān)閉透明化Session ID可以通過操作PHP.ini文件來實(shí)現(xiàn);四是通過URL傳遞隱藏參數(shù),這樣可以確保即使黑客獲取了session數(shù)據(jù),但是由于相關(guān)參數(shù)是隱藏的,它也很難獲得Session ID變量值。?2、對SQL注入漏洞的防范?黑客進(jìn)行SQL注入手段很多,而且靈活多變,但是SQL注人的共同點(diǎn)就是利用輸入過濾漏洞。因此,要想從根本上防止SQL注入,根本解決措施就是加強(qiáng)對請求命令尤其是查詢請求命令的過濾。具體來說,包括以下幾點(diǎn):一是把過濾性語句進(jìn)行參數(shù)化處理,也就是通過參數(shù)化語句實(shí)現(xiàn)用戶信息的輸入而不是直接把用戶輸入嵌入到語句中。二是在網(wǎng)站開發(fā)的時(shí)候盡可能少用解釋性程序,黑客經(jīng)常通過這種手段來執(zhí)行非法命令;三是在網(wǎng)站開發(fā)時(shí)盡可能避免網(wǎng)站出現(xiàn)bug,否則黑客可能利用這些信息來攻擊網(wǎng)站;僅僅通過防御SQL注入還是不夠的,另外還要經(jīng)常使用專業(yè)的漏洞掃描工具對網(wǎng)站進(jìn)行漏洞掃描。?3、對腳本執(zhí)行漏洞的防范?黑客利用腳本執(zhí)行漏洞進(jìn)行攻擊的手段是多種多樣的,而且是靈活多變的,對此,必須要采用多種防范方法綜合的手段,才能有效防止黑客對腳本執(zhí)行漏洞進(jìn)行攻擊。這里常用的方法方法有以下四種。一是對可執(zhí)行文件的路徑進(jìn)行預(yù)先設(shè)定??梢酝ㄟ^safe_moade_exec_dir來實(shí)現(xiàn);二是對命令參數(shù)進(jìn)行處理,一般用escapeshellarg函數(shù)實(shí)現(xiàn);三是用系統(tǒng)自帶的函數(shù)庫來代替外部命令;四是在操作的時(shí)候進(jìn)可能減少使用外部命令。?4、對全局變量漏洞防范?對于PHP全局變量的漏洞問題,以前的PHP版本存在這樣的問題,但是隨著PHP版本升級到5.5以后,可以通過對php.ini的設(shè)置來實(shí)現(xiàn),設(shè)置ruquest_order為GPC。另外在php.ini配置文件中,可以通過對Magic_quotes_runtime進(jìn)行布爾值設(shè)置是否對外部引人的數(shù)據(jù)中的溢出字符加反斜線。為了確保網(wǎng)站程序在服務(wù)器的任何設(shè)置狀態(tài)下都能運(yùn)行。可以在整個(gè)程序開始的時(shí)候用get_magic_quotes_runtime檢測設(shè)置狀態(tài)決定是否要手工處理,或者在開始(或不需要自動轉(zhuǎn)義的時(shí)候)用set_magic_quotes_runtime(0)關(guān)掉。?5、對文件漏洞的防范?對于PHP文件漏桐可以通過對服務(wù)器進(jìn)行設(shè)置和配置來達(dá)到防范目的。這里具體的操作如下:一是把PHP代碼中的錯(cuò)誤提示關(guān)閉,這樣可以避免黑客通過錯(cuò)誤提示獲取數(shù)據(jù)庫信息和網(wǎng)頁文件物理路徑;二是對open_basedir盡心設(shè)置,也就是對目錄外的文件操作進(jìn)行禁止處理;這樣可以對本地文件或者遠(yuǎn)程文件起到保護(hù)作用,防止它們被攻擊,這里還要注意防范Session文件和上載文件的攻擊;三是把safe-made設(shè)置為開啟狀態(tài),從而對將要執(zhí)行的命令進(jìn)行規(guī)范,通過禁止文件上傳,可以有效的提高PHP網(wǎng)站的安全系數(shù)。


公司網(wǎng)站常見安全漏洞及防御方法由東莞網(wǎng)站設(shè)計(jì)編輯 http://www.wenyidai.com/hd/news/9128.html如需轉(zhuǎn)載請注明出處

東莞網(wǎng)站改版 東莞網(wǎng)站設(shè)計(jì) 東莞網(wǎng)站制作 東莞網(wǎng)站建設(shè) 東莞網(wǎng)絡(luò)推廣 東莞做網(wǎng)站 東莞小程序開發(fā) 東莞小程序商城開發(fā) 佛山網(wǎng)站建設(shè) 深圳網(wǎng)站建設(shè) 電商網(wǎng)站建設(shè) 清遠(yuǎn)網(wǎng)站建設(shè) 門戶網(wǎng)站建設(shè) 湛江網(wǎng)站建設(shè) 企業(yè)網(wǎng)站建設(shè) 河源網(wǎng)站建設(shè) 專業(yè)網(wǎng)站建設(shè) 梅州網(wǎng)站建設(shè) SEO外包 網(wǎng)站托管 關(guān)鍵詞優(yōu)化

多一份參考,總有益處

藁城市| 冀州市| 福贡县| 房产| 同仁县| 新野县| 城市| 教育| 石屏县| 沙洋县| 勃利县| 讷河市| 齐齐哈尔市| 东乌珠穆沁旗| 论坛| 新建县| 子长县| 休宁县| 龙川县| 三门县| 汉源县| 句容市| 安多县| 巴塘县| 迁西县| 枣庄市| 定襄县| 当雄县| 雷州市| 华池县| 内丘县| 陆川县| 广东省| 长岭县| 舟山市| 锦屏县| 勃利县| 肇东市| 拜泉县| 高尔夫| 咸丰县|