Tag Archives: 模板

关于网站功能页未授权访问的问题

我在做安全工程师的时候经常会遇到审计一个网站发现网站后台输入 /admin/可能给你提示出一个登录页,输/admin/left.jsp 却又能直接访问的问题。也许你会告诉他们,访问功能页要判断当前是否存在有效会话和对应级别id,他们也许听完之后哦的一声就去加了一个if(sessionid=0 && !empty(session)){redirect(‘index’);}(只是举例,这样是不安全的)。但是等你复检的时候,再输个/left, 也会有可能遇到还是可以访问的问题。这个时候其实不是他们没有按照你说的做。而是没有做全。其实很多安全公司写的安全建议报告里面都是存在一项缺失的。那就是对网站模板的处理。不要小看这个模板,很多人你跟他说你的模板没处理,他青筋暴起瞪大眼睛跟你说,模板没处理不算没处理。实际上模板不处理有时候造成的后果也是不亚于功能脚本页没有进行有效会话判断的。比如说有的商业cms可能出于某些原因在js里实现了过多的功能,这些js里实现的功能参数往往过于详细,也许我们直接访问可能不容易猜测到js地址,但是模板页的源码通常情况下都会给我们一个很好的指引。那这里该如何处理呢?

Posted in php security, 安全控制 | Tagged , , , , | Leave a comment

Php Web网站程序开发概述

很少有人讲过这些东西, 大概整理一下。 前台:   html,div+css+js+ajax+jquery  (切页面,调样式,做效果和部分验证) 后台:    php,frame分帧,往前台传值和获取更新信息,编辑器,权限管理。 模板引擎: smarty… 开发框架: thinkphp, sfmy… 数据库: Mysql… 数据库可视化管理: phpmyadmin,win32/LinuxSqlGUI 剩下的就是一些php和sql优化有关的一些东西.. 前几天刚刚发现, 我的新blog被中国移动无故屏蔽了…

Posted in php | Tagged , , , , , | Leave a comment