分类目录归档：全部列表

2014
11-07

PHP基础之预定义接口1——Traversable接口

简介检测一个类是否可以使用 foreach 进行遍历的接口。无法被单独实现的基本抽象接口。相反它必须由 IteratorAggregate 或 Iterator 接口实现。Note:实现此接口的内建类可以使用 foreach 进行遍历而无需实现 IteratorAggregate 或 Iterator 接口。Note:这是一个无法在PHP脚本中实现的内部引擎接口。IteratorAggregate 或 Iterator 接口可以用来代替它。接口摘要Traversable {}这个接口没有任何方... 继续阅读 >
2014
11-07

PHP基础之预定义接口2——Iterator接口

可在内部迭代自己的外部迭代器或类的接口。接口摘要IteratorextendsTraversable{/*方法*/abstractpublicmixedcurrent(void)abstractpublicscalarkey(void)abstractpublicvoidnext(void)abstractpublicvoidrewind(void)abstractpublicbooleanvalid(void)}预定义迭代器PHP已经提供了一些用于日常任务的迭代器，如SPL迭代器。范例Example#1基本用法... 继续阅读 >
2014
11-07

PHP基础之预定义接口5——Serializable接口

自定义序列化的接口。实现此接口的类将不再支持 __sleep() 和 __wakeup()。不论何时，只要有实例需要被序列化，serialize方法都将被调用。它将不会调用__destruct()或有其他影响，除非程序化地调用此方法。当数据被反序列化时，类将被感知并且调用合适的unserialize()方法而不是调用__construct()。如果需要执行标准的构造器，你应该在这个方法中进行处理。接口摘要Serializable{/*方法*/abstractpub... 继续阅读 >
2014
11-07

PHP基础之上下文（Context）选项和参数

PHP提供了多种上下文选项和参数，可用于所有的文件系统或数据流封装协议。上下文（Context）由 stream_context_create() 创建。选项可通过stream_context_set_option() 设置，参数可通过 stream_context_set_params() 设置。Socketcontextoptions —Socket上下文选项列表HTTPcontextoptions —HTTP上下文选项列表FTPcontextoptions —FTP上下文选项列表SSL... 继续阅读 >
2014
11-07

PHP基础之PHP支持的协议和封装协议

PHP带有很多内置URL风格的封装协议，可用于类似 fopen()、 copy()、 file_exists() 和 filesize() 的文件系统函数。除了这些封装协议，还能通过stream_wrapper_register() 来注册自定义的封装协议。Note: 用于描述一个封装协议的URL语法仅支持 scheme://... 的语法。 scheme:/ 和 scheme: 语法是不支持的。file:// —访问本地... 继续阅读 >
2014
11-07

PHP安全之简介和总则

简介PHP作为一种强大的语言，无论是以模块还是 CGI 的方式安装，它的解释器都可以在服务器上访问文件、运行命令以及创建网络连接等。这些功能也许会给服务器添加很多不安全因素，但是只要正确地安装和配置PHP，以及编写安全的代码，那么PHP相对于Perl和C来说，是能创建出更安全的CGI程序的。而且，也可以在可用性和安全性之间找到一个很好的平衡点。PHP可能会被用在很多不同的方面，因此，PHP内置的选项... 继续阅读 >
2014
11-07

PHP安全之以CGI 模式安装时可能遇到的攻击及解决办法

如果不想把PHP嵌入到服务器端软件（如Apache）作为一个模块安装的话，可以选择以 CGI 的模式安装。或者把PHP用于不同的CGI封装以便为代码创建安全的chroot和setuid环境。这种安装方式通常会把PHP的可执行文件安装到web服务器的cgi-bin目录。尽管PHP可以作为一个独立的解释器，但是它的设计使它可以防止下面类型的攻击：访问系统文件：http://my.host/cgi-bin/php?/etc/passwd 在URL请求的问号（?）后面... 继续阅读 >
2014
11-07

PHP安全之以Apache模式安装时可能遇到的攻击及解决办法

当PHP以Apache模块方式安装时，它将继承Apache用户（通常为“nobody”）的权限。这对安全和认证有一些影响。比如，如果用PHP来访问数据库，除非数据库有自己的访问控制，否则就要使“nobody”用户可以访问数据库。这意味着恶意的脚本在不用提供用户名和密码时就可能访问和修改数据库。一个webSpider也完全有可能偶然发现数据库的管理页面，并且删除所有的数据库。可以通过Apache认证来避免此问题，或者用LDAP、.htac... 继续阅读 >
2014
11-07

PHP安全之文件系统安全及防范措施

PHP遵从大多数服务器系统中关于文件和目录权限的安全机制。这就使管理员可以控制哪些文件在文件系统内是可读的。必须特别注意的是全局的可读文件，并确保每一个有权限的用户对这些文件的读取动作都是安全的。PHP被设计为以用户级别来访问文件系统，所以完全有可能通过编写一段PHP代码来读取系统文件如/etc/passwd，更改网络连接以及发送大量打印任务等等。因此必须确保PHP代码读取和写入的是合适的文件。请看下面的代码... 继续阅读 >
2014
11-07

PHP安全之文件系统安全——Null字符问题

由于PHP的文件系统操作是基于C语言的函数的，所以它可能会以您意想不到的方式处理Null字符。Null字符在C语言中用于标识字符串结束，一个完整的字符串是从其开头到遇见Null字符为止。以下代码演示了类似的攻击：Example#1会被Null字符问题攻击的代码<?php$file=$_GET['file'];//"../../etc/passwd\0"if(file_exists('/home/wwwrun/'.$file.'.php')){//文件/home/wwwrun/../../etc/passw... 继续阅读 >
2014
11-07

PHP安全之数据库安全——SQL注入及预防措施

很多web开发者没有注意到SQL查询是可以被篡改的，因而把SQL查询当作可信任的命令。殊不知道，SQL查询可以绕开访问控制，从而绕过身份验证和权限检查。更有甚者，有可能通过SQL查询去运行主机操作系统级的命令。直接SQL命令注入就是攻击者常用的一种创建或修改已有SQL语句的技术，从而达到取得隐藏数据，或覆盖关键的值，甚至执行数据库主机操作系统命令的目的。这是通过应用程序取得用户输入并与静态参数组合成SQL... 继续阅读 >
2014
11-07

PHP安全之数据库安全——设计、连接和加密

设计数据库第一步一般都是创建数据库，除非是使用第三方的数据库服务。当创建一个数据库的时候，会指定一个所有者来执行和新建语句。通常，只有所有者（或超级用户）才有权对数据库中的对象进行任意操作。如果想让其他用户使用，就必须赋予他们权限。应用程序永远不要使用数据库所有者或超级用户帐号来连接数据库，因为这些帐号可以执行任意的操作，比如说修改数据库结构（例如删除一个表）或者清空整个数据库的内容。应该为程... 继续阅读 >
2014
11-07

PHP安全之错误报告

对于PHP的安全性来说错误报告是一把双刃剑。一方面可以提高安全性，另一方面又有害。攻击系统时经常使用的手法就是输入不正确的数据，然后查看错误提示的类型及上下文。这样做有利于攻击者收集服务器的信息以便寻找弱点。比如说，如果一个攻击者知道了一个页面所基于的表单信息，那么他就会尝试修改变量：Example#1用自定义的HTML页面攻击变量<formmethod="post"action="attacktarget?username=badfoo&amp;password... 继续阅读 >
2014
11-07

PHP安全之使用 Register Globals

本特性已自PHP5.3.0起废弃并将自PHP5.4.0起移除。可能 PHP 中最具争议的变化就是从 PHP 4.2.0 版开始配置文件中 PHP 指令 register_globals 的默认值从on改为off了。对此选项的依赖是如此普遍以至于很多人根本不知道它的存在而以为 PHP 本来就是这么工作的。本节会解释用这个指令如何写出不安全的代码，但要知道这个指令本身没有不安全的地方，误用才会。当... 继续阅读 >
2014
11-07

PHP安全之用户提交的数据

很多PHP程序所存在的重大弱点并不是PHP语言本身的问题，而是编程者的安全意识不高而导致的。因此，必须时时注意每一段代码可能存在的问题，去发现非正确数据提交时可能造成的影响。Example#1危险的变量用法<?php//从用户目录中删除一个文件，或者……能删除更多的东西？unlink($evil_var);//记录用户的登陆，或者……能否在/etc/passwd添加数据？fwrite($fp,$evil_var);//执行一些普通的命... 继续阅读 >
2014
11-07

PHP安全之魔术引号——什么是魔术引号以及如何使用

注：魔术引号特性已自PHP5.3.0起废弃并将自PHP5.4.0起移除。什么是魔术引号当打开时，所有的 '（单引号），"（双引号），\（反斜线）和 NULL 字符都会被自动加上一个反斜线进行转义。这和 addslashes() 作用完全相同。一共有三个魔术引号指令：magic_quotes_gpc 影响到 HTTP 请求数据（GET，POST和COOKIE）。不能在运行时改变。在 PHP 中默认值为 on。magic_quotes_runtime 如果打开的话，大部份从外部... 继续阅读 >
2014
11-07

PHP安全之隐藏PHP脚本扩展名

一般而言，通过隐藏的手段提高安全性被认为是作用不大的做法。但某些情况下，尽可能的多增加一份安全性都是值得的。一些简单的方法可以帮助隐藏PHP，这样做可以提高攻击者发现系统弱点的难度。在 php.ini 文件里设置expose_php=off，可以减少他们能获得的有用信息。另一个策略就是让web服务器用PHP解析不同扩展名。无论是通过 .htaccess 文件还是Apache的配置文件，都可以设置能误导攻击者的文件扩展名：Exampl... 继续阅读 >
2014
11-07

PHP特点之用 PHP 进行 HTTP 认证

PHP的 HTTP 认证机制仅在PHP以Apache模块方式运行时才有效，因此该功能不适用于CGI版本。在Apache模块的PHP脚本中，可以用 header() 函数来向客户端浏览器发送“AuthenticationRequired”信息，使其弹出一个用户名／密码输入窗口。当用户输入用户名和密码后，包含有URL的PHP脚本将会加上预定义变量PHP_AUTH_USER，PHP_AUTH_PW 和 AUTH_TYPE 被再次调用，这三个变量分别被设定... 继续阅读 >
2014
11-07

PHP特点之会话机制1——Cookie的使用

PHP透明地支持 HTTP cookie。cookie是一种在远程浏览器端储存数据并以此来跟踪和识别用户的机制。可以用 setcookie() 或 setrawcookie() 函数来设置cookie。cookie是 HTTP 标头的一部分，因此 setcookie() 函数必须在其它信息被输出到浏览器前调用，这和对 header() 函数的限制类似。可以使用输出缓冲函数来延迟脚本的输出，直到按需要设置好了所有的cookie或... 继续阅读 >
2014
11-07

PHP特点之会话机制2——Session及其使用

会话机制（Session）在PHP中用于保存并发访问中的一些数据。这使可以帮助创建更为人性化的程序，增加站点的吸引力。一个访问者访问你的web网站将被分配一个唯一的id,就是所谓的会话id.这个id可以存储在用户端的一个cookie中，也可以通过URL进行传递.会话支持允许你将请求中的数据保存在超全局数组$_SESSION中.当一个访问者访问你的网站，PHP将自动检查(如果 session.auto_start被设置为1）或者在你要求下... 继续阅读 >
2014
11-07

PHP特点之文件上传1——使用POST方法上传单文件和多文件

本特性可以使用户上传文本和二进制文件。用PHP的认证和文件操作函数，可以完全控制允许哪些人上传以及文件上传后怎样处理。PHP能够接受任何来自符合RFC-1867标准的浏览器（包括 NetscapeNavigator3 及更高版本，打了补丁的 MicrosoftInternetExplorer3 或者更高版本）上传的文件。Note: 相关的设置请参阅 php.ini 的 file_uploads，upload_max_filesize，upload_tmp_dirpost_max_size 以及 max_input_time... 继续阅读 >
2014
11-07

PHP特点之文件上传2——错误信息说明

从PHP4.2.0开始，PHP将随文件信息数组一起返回一个对应的错误代码。该代码可以在文件上传时生成的文件数组中的 error 字段中被找到，也就是 $_FILES['userfile']['error']。UPLOAD_ERR_OK其值为0，没有错误发生，文件上传成功。UPLOAD_ERR_INI_SIZE其值为1，上传的文件超过了 php.ini 中 upload_max_filesize 选项限制的值。UPLOAD_ERR_FORM_SIZE其值为2，上传文件的大小超过了HTML表单中 MAX_FILE_SIZE ... 继续阅读 >