Linux下安装JDK
2012-10-28 16:57
169 查看
1.不要依赖注册全局变量[b]功能[/u](register_globals)[/b]
注册全局变量的出现曾经让PHP[/u]变得非常易用,但也降低了安全性(方便之处经常会破坏安全性)。建议在编程时把register_globals指令关闭,在PHP6中这个功能也会被取消。
2.在使用变量之前对其进行初始化。[/b]
如果register_globals功能是启动的,即使程序员不使用它,恶意用户也可能利用为初始化变量的漏洞来侵入我们的系统[/u]。比如:
if(conditon){
$auth=TRUE;
}
如果变量$auth没有在这段之前被初始化为FALSE,那么用户就可以向脚本传递$_GET[‘auth’]、$_POST[‘auth’]或$_COOKIE[‘auth’]轻易的实现验证。
3.检验和净化全部输入数据[/u]。[/b]
4.在利用变量引用包含文件时要小心。[/b]
如果脚本中有这样的代码:
require($page);
那么就应该确保$page不会来自外部资源(比如$_GET),或者,如果它的确来自于外部资源,那么就要确保它包含适当的值。
5.在任何服务器上执行命令的函数都要多加小心。[/b]
这些函数包括eval()、exec()、system()、passthru()、popen()和反撇号(``)。这些函数都能够在服务器上执行命令,永远都不要随意使用。如果在命令里不得不包含便来那个,就应该对这个变量进行彻底的安全检查。还应该使用escapeshellarg() escapeshellcom()进行额外的预处理。
6.更改默认的会话目录,或者使用数据库保存会话数据。[/b]
7.不要使用浏览器提供的文件名在服务器上保存上传的文件。[/b]
8.如果被提交的数据需要在web页面中重新显示,一定要注意其中的HTML,更重要的是JAVASCRIPT[/b]
可以利用函数
string htmlspecialchars ( string string [, int quote_style [, string charset]])
对提交的数据进行处理
9.不要在站点上暴露你的PHP错误信息[/b]
PHP错误信息能够在你开发的过程中把错误信息输出方便你的检查,但是如果暴露在Web上面,很可以成为攻击者的入口。
10.防止SQL注入攻击。[/b]
应该使用特定语言的数据库转义函数,比如mysqli_real_escape_data(),确保提交的内容不会破坏查询操作。
11.永远不要在服务器上保存phpinfo()脚本。[/b]
注册全局变量的出现曾经让PHP[/u]变得非常易用,但也降低了安全性(方便之处经常会破坏安全性)。建议在编程时把register_globals指令关闭,在PHP6中这个功能也会被取消。
2.在使用变量之前对其进行初始化。[/b]
如果register_globals功能是启动的,即使程序员不使用它,恶意用户也可能利用为初始化变量的漏洞来侵入我们的系统[/u]。比如:
if(conditon){
$auth=TRUE;
}
如果变量$auth没有在这段之前被初始化为FALSE,那么用户就可以向脚本传递$_GET[‘auth’]、$_POST[‘auth’]或$_COOKIE[‘auth’]轻易的实现验证。
3.检验和净化全部输入数据[/u]。[/b]
4.在利用变量引用包含文件时要小心。[/b]
如果脚本中有这样的代码:
require($page);
那么就应该确保$page不会来自外部资源(比如$_GET),或者,如果它的确来自于外部资源,那么就要确保它包含适当的值。
5.在任何服务器上执行命令的函数都要多加小心。[/b]
这些函数包括eval()、exec()、system()、passthru()、popen()和反撇号(``)。这些函数都能够在服务器上执行命令,永远都不要随意使用。如果在命令里不得不包含便来那个,就应该对这个变量进行彻底的安全检查。还应该使用escapeshellarg() escapeshellcom()进行额外的预处理。
6.更改默认的会话目录,或者使用数据库保存会话数据。[/b]
7.不要使用浏览器提供的文件名在服务器上保存上传的文件。[/b]
8.如果被提交的数据需要在web页面中重新显示,一定要注意其中的HTML,更重要的是JAVASCRIPT[/b]
可以利用函数
string htmlspecialchars ( string string [, int quote_style [, string charset]])
对提交的数据进行处理
9.不要在站点上暴露你的PHP错误信息[/b]
PHP错误信息能够在你开发的过程中把错误信息输出方便你的检查,但是如果暴露在Web上面,很可以成为攻击者的入口。
10.防止SQL注入攻击。[/b]
应该使用特定语言的数据库转义函数,比如mysqli_real_escape_data(),确保提交的内容不会破坏查询操作。
11.永远不要在服务器上保存phpinfo()脚本。[/b]
相关文章推荐
- Linux安装JDK1.7
- Linux下JDK安装
- Linux中安装JDK并配置环境变量——rpm安装
- Linux JDK安装及配置 (tar.gz版)
- linux(ubuntu)安装Java jdk环境变量设置及小程序测试
- linux环境下jdk的安装
- linux下安装jdk和myeclipse
- Linux安装jdk
- Linux安装JDK
- linux 系统下配置安装 java jdk 图文流程
- linux下安装jdk
- [linux问题及解决] jdk版本问题-非最新安装的版本
- Linux下Jdk与Tomcat的安装方法
- Linux使用yum安装JDK
- linux查看java jdk安装路径和设置环境变量
- Linux上安装配置使用Tomcat说明文档和JDK环境变量配置
- 在Ubuntu下安装jdk解压出现问题:./jdk-6u30-linux-i586.bin: 113: ./install.sfx.3631: not found
- 【linux】安装jdk
- linux下安装jdk并配置环境变量
- linux下用rpm 安装jdk