Tag Archives: 安全

文件上传的前世今生

从开始到现在,文件上传其实都是一项正常功能。其最大的好处就是方便了文件类型信息的交互与传递,大大减轻了现代办公压力。但是,它也有一个悖端,那就是,如果是不怀好意的人上传了不应该上传的内容,就会造成结果的不可预料。这样,就衍生成了一个严重的安全威胁。所以,我们要对文件上传内容进行过滤。 先来看一下什么是上传表单 <form action="up.php" enctype="multipart/form-data" method="post">Add File: <input name="file" type="file" value="" /> <input type="submit" value="Submit" /></form>&nbsp; <?php if(isset($_POST)) { foreach($_FILES as $k=>$v) { foreach ($v as $k=>$v) {                   echo ‘<pre>’;   … Continue reading

Posted in php security | Tagged , , , , , | Leave a comment

如何正确的读网上的web漏洞分享文章(报告)

网上的漏洞分享报告很多,不管是文章也好报告也好,公开以后都是给人读的,最终目的都是让人受益。去了解,分析,研究,修复这个漏洞。但是读者群中不仅仅包括有厂商和漏洞研究者们,还有数目庞大的安全初学者和门外汉。 但是,在真正的拿起一篇文章开始读时,这些安全初学者往往会愕然,因为很多人会感觉无从读起,不好下手。为什么会有这种感觉呢?其实我猜应该是有以下几种原因导致的。 1. 安全研究者在发布漏洞时,往往只会注重技术细节,不会瞻前顾后。如果代码功底不强的读者看到了,肯定会云里雾里。 2. 漏洞公布平台版面/厂商要求? 不知道存在不存在这种情况,往往很多人喜欢一针见血, 不喜欢啰里八嗦的人,我曾经就被外甥训斥为:不要再啰嗦了。 3. 漏洞发布者是一个注重效率的人。 4. 初学者认为自己的问题太基础羞于下问,研究者认为问题太过基础耻于回答。(死循环) 于是这就导致了一个问题, 大多安全研究者认为此技术我已掌握不需要去过多了解,本来不会想去了解的人还是不会。 这样造成的结果就是,技术文章在有限的条件下偏离了造福一方的初衷。失去了安全的真正意义。

Posted in security | Tagged , , , | 1 Comment

有关网站后台密码防御问题

看到了越来越多的网站被黑客或是通过sql注入或是通过其他途径获取到了加密后的密码,发现一个问题就是很多人加密通常只会使用md5这一个函数,打个比方,大部分人的登陆验证可能都是这么写的。(这只是一个例子,通过get获取敏感参数是不正确的)

Posted in security | Tagged , , , , | 2 Comments

php中的浮点数安全问题

关于浮点数, php语言里使用float表达,其他语言一般也是,这个是通用的。 英文里有浮动的意思, 从英文解释里, 也许就能猜的出来浮点数的大概意思,这个时候我们首先就想到了,它也许是不确定的, 因为是(浮动)。 咱们回到php语言中, 在php语言中, float说的其实是多种数据类型的一种, 浮点型。 浮点型数据咱们简单点理解就是, 它是一个包含小数的数, 只能用来表示近似, 不能完全确定, 比如取3.1415926 ~ 精确到第几位, 工程计算中误差要达到什么等级, 这个时候要用到的就是浮点数。

Posted in php security | Tagged , , , , | Leave a comment

测试web应用程序的验证,会话管理,访问控制

在早期的时候,web应用程序还不能完全叫应用程序,因为那个时候的web页面都是htm页面,主要功能也只是给人家来看的,即使被攻破也只能对其进行修改或者传播一些不实消息。后来,随着网络技术的发展和人民对网络生活需求的日益提高, web程序从刚开始的给人看, 衍生出了许多贴近生活的功能,比如购物,博客,论坛。 web程序从刚开始的给人提供查看阅读变成了大众生活的一部分, 这个时候, 就要对其进行管理, 为什么要管理? 这个其实跟现实生活一个道理, 比如我买东西, 肯定得先进行确认,然后建立联系, 再进行交易, 要是不确认大家都随便买随便卖那就都乱套了,所以这个时候就得对其进行管理。 因为网络世界和现实世界终究还是有差别的, 必须把完整的指令给它它才知道做什么, 并且,一个平台上又不是只有你一个人, 如果程序要对各种用户提出的请求进行确认是否允许或者拒绝, 前提就得先进行确认,这些请求来源于谁。 web程序发展至今, 流行的验证方式就是通过账户密码from表单确认, 然后服务器颁发一个令牌, 以后客户端再提出什么请求都会带上这个令牌再次进行提交, 以此来进行身份确认。 一些保密性要求比较高的, 还会通过active控件进行加强验证。除此之外,提供验证身份确认的方式还有: 1.http基础认证方式 2. 验证服务 3. 本机导入证书验证 4. 物理令牌验证 针对验证的安全机制, 开发者大多使用这种互联的方式处理用户的访问: 身份验证 会话管理 访问控制

Posted in 安全控制 | Tagged , , , , , | Leave a comment

php代码审计中常用的一些搜索关键字

sql注入 $_GET $_POST $_COOKIE $_FILES(文件名文件后缀) $_REQUEST $_SERVER 文件访问 fopen readfile file fpassthru gzopen gzfile gzpassthru readgzfile copy rename rmdir mkdir unlink file_get_contents file_put_contents parse_ini_file

Posted in php security | Tagged , , , , | Leave a comment