本文目录一览：
- 1、PHP网站怎么sql注入？有没有破解防御的方法？
- 2、thinkphp网站怎么注入，语句有什么
- 3、怎样注入PHP网站提权3389权限
- 4、php内嵌其它网站怎么做？
- 5、为什么大型网站前端使用 PHP 后台逻辑用 Java？
PHP网站怎么sql注入？有没有破解防御的方法？
网站的运行安全肯定是每个站长必须考虑的问题，大家知道，大多数黑客攻击网站都是采用sql注入，这就是我们常说的为什么最原始的静态的网站反而是最安全的。 今天我们讲讲PHP注入的安全规范，防止自己的网站被sql注入。
如今主流的网站开发语言还是php，那我们就从php网站如何防止sql注入开始说起：
Php注入的安全防范通过上面的过程，我们可以了解到php注入的原理和手法，当然我们也同样可以制定出相应该的防范方法：
首先是对服务器的安全设置，这里主要是php+mysql的安全设置和linux主机的安全设置。对php+mysql注射的防范,首先将magic_quotes_gpc设置为On，display_errors设置为Off，如果id型，我们利用intval()将其转换成整数类型，如代码：
$id=intval($id);
mysql_query=”select *from example where articieid=’$id’”;或者这样写：mysql_query(”SELECT * FROM article WHERE articleid=”.intval($id).”")
如果是字符型就用addslashes()过滤一下，然后再过滤”%”和”_”如：
$search=addslashes($search);
$search=str_replace(“_”,”\_”,$search);
$search=str_replace(“%”,”\%”,$search);
当然也可以加php通用防注入代码：
/*************************
PHP通用防注入安全代码
说明：
判断传递的变量中是否含有非法字符
如$_POST、$_GET
功能：
防注入
**************************/
//要过滤的非法字符
$ArrFiltrate=array(”‘”,”;”,”union”);
//出错后要跳转的url,不填则默认前一页
$StrGoUrl=”";
//是否存在数组中的值
function FunStringExist($StrFiltrate,$ArrFiltrate){
foreach ($ArrFiltrate as $key=$value){
if (eregi($value,$StrFiltrate)){
return true;
}
}
return false;
}
//合并$_POST 和 $_GET
if(function_exists(array_merge)){
$ArrPostAndGet=array_merge($HTTP_POST_VARS,$HTTP_GET_VARS);
}else{
foreach($HTTP_POST_VARS as $key=$value){
$ArrPostAndGet[]=$value;
}
foreach($HTTP_GET_VARS as $key=$value){
$ArrPostAndGet[]=$value;
}
}
//验证开始
foreach($ArrPostAndGet as $key=$value){
if (FunStringExist($value,$ArrFiltrate)){
echo “alert(/”Neeao提示，非法字符/”);”;
if (empty($StrGoUrl)){
echo “history.go(-1);”;
}else{
echo “window.location=/”".$StrGoUrl.”/”;”;
}
exit;
}
}
?
/*************************
保存为checkpostandget.php
然后在每个php文件前加include(“checkpostandget.php“);即可
**************************/
另外将管理员用户名和密码都采取md5加密，这样就能有效地防止了php的注入。
还有服务器和mysql也要加强一些安全防范。
对于linux服务器的安全设置：
加密口令，使用“/usr/sbin/authconfig”工具打开密码的shadow功能，对password进行加密。
禁止访问重要文件，进入linux命令界面，在提示符下输入：
#chmod 600 /etc/inetd.conf //改变文件属性为600
#chattr +I /etc/inetd.conf //保证文件属主为root
#chattr –I /etc/inetd.conf // 对该文件的改变做限制
禁止任何用户通过su命令改变为root用户
在su配置文件即/etc/pam.d/目录下的开头添加下面两行:
Auth sufficient /lib/security/pam_rootok.so debug
Auth required /lib/security/pam_whell.so group=wheel
删除所有的特殊帐户
#userdel lp等等 删除用户
#groupdel lp等等 删除组
禁止不使用的suid/sgid程序
#find / -type f \(-perm -04000 - o –perm -02000 \) \-execls –lg {} \;
thinkphp网站怎么注入，语句有什么
tp的注入没那么好注入的，因为他自带了 过滤然后程序员再写一层过滤..你还想注入...
怎样注入PHP网站提权3389权限
查找可用的注入点，注入后得到管理员帐号密码进后台传小马后再大马提权OK
php内嵌其它网站怎么做？
访问和显示可以实现，但是要进行操作就比较麻烦了吧。
php可以用curl获取目标网址然后输出。
为什么大型网站前端使用 PHP 后台逻辑用 Java？
最近纠结了一下，如果开发一个大型的网站，我到底应该使用php还是jsp，后台到底使用php还是用java，我的选择要么是php要么是java，因为我喜欢linux、unix，当然window平台也必须支持，以便哦的妹纸可以查看。这就要求用一些跨平台相当好的软件+工具+语言，所以选择只能是这么几个。最后我的决定是php+java，一个前台一个后台，理由如下： php和java在开源社区的活跃度严重超过了其他的语言，使用人数也都是相当之多；活跃的开发工程师们能够给我帮助，且这俩都能很好的跨平台，不用花费大量的人力物力去维护 我也做过一个物联网的网关网站，比较复杂，当时采用的是jsp+java，复杂程度可想而知，单单说开发过程，网站部分繁琐，每次想查看结果运行网站的时候还需要重新打包部署一下，严重影响了哦的开发效率，每天的时间都是在等待（因为网站比较复杂，打包部署需要浪费一些时间）。相对来说呢，php就没有了，php灵活，好学，上手快，容易修改，容易发布，关键是热部署，这个真让哦眼睛大亮。当然看待任何事物都需要两种眼光，php也会有缺点，比如没有太好的开发IDE，所以拼写错误很正常，且php的sql注入危险较大点，执行效率不高，安全性不如java。还有一些理由，来自知乎的米米们给的建议： Java的优点则是稳定可靠、运行效率高（尤其是JIT的出现之后差距更大了）、不容易犯错（强类型、预编译、必须拦截异常等等），缺点是开发和发布的效率相对较低。尽管优秀的工程师能在一定程度上改变以上的问题，但通常而言，哪能到处都是高手多如狗的梦之队？ 从MVC的层次结构上说，在一般网站项目的开发周期中，需求变更最频繁、调整最多的是View，其次是Controller，最后是Model。这非常好理解，没事干谁天天改数据结构？每次版本升级控制结构都要改的啦，或多或少而已。再次是两者之间的通信，目前RPC技术已经足够成熟，无论是Web Service/Hessian/RESTful API都能够让开发人员专注在功能开发上，而不需要过多的考虑异构平台的差异和通讯的细节。这也就意味着在大公司里同时应用两种语言的方案并不会引入过多的复杂度和工作量。当然，文档量的下限倒是因此被拔高了不少，但事实上大部分团队对此其实都是喜闻乐见的：别每天说文档重要但没空了，你不写其他同事怎么配合？ 靠近用户的前端，使用PHP能够更快的完成前端频繁而琐碎的更新，自如的应对各种需求的变化。页面的结构调整、用户输入内容的基本验证、仅只和用户交互有关的简单逻辑等都很适合使用PHP来开发，甚至可以通过类似Smarty等模板技术将其页面的变动迁移到前端团队。而基本的业务逻辑和数据的更新采用Java开发，可以有效的提高复用度、提升性能和吞吐能力、规避安全问题等。而开发效率稍有降低换来的是可维护性的提升，发布速度慢就更不是问题了，因为通常对于基础业务逻辑的调整往往都是整体修改，并层层测试确认才能发布的。 所以，大型网站前端采用PHP后端采用Java，既好招人又好维护、系统稳定还性能高、连安全性都大大增加。代码复用、文档完备度居然也都改善了。让你在以上这些好处触手可及时，对架构师知识谱系在广度上要求更高一些这事根本就不是个问题。 单一方案其实一样可以做良好的隔离，PHP同样可以提供Service，而性能问题其实很多时候是算法和架构的问题而不是语言差异的问题。如Velocity或JSTL等也是很优秀的隔离方案。 但这些方案在高压力下会暴露出很多问题而体现双语言的优势，这些在上面其实都提到，详细说明一些很难得到改变的点： 1. PHP由于其动态脚本语言的特性，包括类、函数、常量在内都需要在每次请求周期中重复执行后才能建立运行环境；为了保证解析速度而牺牲编译质量；应用了FastCGI但仅仅只是复用进程处理请求减少fork成本而不是像其他语言，初始化完毕后通过FastCGI的接口获得数据并以对应接口返回数据等几个原因，基本上已经不可能在性能上追回当初更烂现在开着JIT牌跑车的Java了。 2. 在PHP里是如此的容易犯错而难以发现，即使你用实质上出自官方的Zend Studio，也无法改变一个事实：要保证你的程序高质量无大错，得要有充足的经验、足够的严谨、以及——负责任的QA。淘宝的黄裳就曾经拿IDE这事开过玩笑。而玩笑背后的那个原因“缺乏中间件”最近几年有不少的改善，主要是不少中间件的支持变得更广泛了从而让PHP得益，但发展的根源其实还是在C和Java社区。性能和易犯错则是语言特性造成的技术难点，也是用来换取灵活、快捷的必要代价，很难去指望有根本的改善。 3. Java的世界里也有JSTL、Velocity和Freemaker等，但和PHP灵活而强大的动态能力、丰富的函数和类库、轻松的学习成本、多到令人发指的文档相比，简直就是渣，就是渣啊！JSTL改完了要重启Context啊有木有？Velocity不关缓存也要重启啊有木有？Velocity开缓存性能低下啊有木有？即使这些都不管，调整下某个数据校验规则要改Action也要重启有木有？ 实际工作中性能问题可以通过良好的架构解决，容易犯错的问题可以通过框架和规范以及全面的测试来解决，中间件选择少些但其实该有的都有了，Java的灵活性一样有不少可供考虑的解决方案哪怕是挫得要死的摘掉节点重启，完成后重新上节点的策略。 所以，大家会看到单一语言的技术团队也很多，这个问题的真正考虑还是更多在团队自身的特点、积累等等。用了双语言的，也知道自己为什么要用这些，不用的也清楚自己的路该怎么走。最后的最后说一句：如果你不知道自己为什么要用双语言方案的话，基本上你也就不需要考虑它了。从知乎上整理得到上文 我的Email：jinhuer168@163.com
