前言:
现时大家对“攻击php”大约比较关怀,大家都想要学习一些“攻击php”的相关内容。那么小编也在网络上搜集了一些关于“攻击php””的相关知识,希望咱们能喜欢,同学们一起来学习一下吧!php网站主要的攻击方式有:
1、用户不通过登录页面浏览网页而直接通过地址栏输入页面浏览
2、跨网站脚本攻击(Cross Site Scripting, XSS)
3、SQL注入攻击(SQL injection)
4、跨网站请求伪造攻击(Cross Site Request Forgeries, CSRF)
5、文件上传漏洞(File Upload Attack)
6、表单重复提交
7、HTTP请求欺骗攻击(Spoofed HTTP Requests)
8、PHP安全配置
这里说一下PHP中的关于攻防计划的一些配置入手的点
关闭危险函数
如果打开了安全模式,那么函数禁止是可以不需要的,但是我们为了安全还是考虑进去。比如,
我们觉得不希望执行包括system()等在那的能够执行命令的php函数,或者能够查看php信息的
phpinfo()等函数,那么我们就可以禁止它们:
disable_functions = system,passthru,exec,shell_exec,popen,phpinfo
如果你要禁止任何文件和目录的操作,那么可以关闭很多文件操作
disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir, rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown
以上只是列了部分不叫常用的文件处理函数,你也可以把上面执行命令函数和这个函数结合,
就能够抵制大部分的phpshell了。
错误信息控制
一般php在没有连接到数据库或者其他情况下会有提示错误,一般错误信息中会包含php脚本当
前的路径信息或者查询的SQL语句等信息,这类信息提供给黑客后,是不安全的,所以一般服务器建议禁止错误提示:
display_errors = Off
如果你却是是要显示错误信息,一定要设置显示错误的级别,比如只显示警告以上的信息:
error_reporting = E_WARNING & E_ERROR
控制php脚本能访问的目录
使用open_basedir选项能够控制PHP脚本只能访问指定的目录,这样能够避免PHP脚本访问
不应该访问的文件,一定程度上限制了phpshell的危害,我们一般可以设置为只能访问网站目录:
open_basedir = /dir/user/