|
網(wǎng)絡(luò)技術(shù)是從1990年代中期發(fā)展起來的新技術(shù)，它把互聯(lián)網(wǎng)上分散的資源融為有機整體，實現(xiàn)資源的全面共享和有機協(xié)作，使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計算機、存儲資源、數(shù)據(jù)資源、信息資源、知識資源、專家資源、大型數(shù)據(jù)庫、網(wǎng)絡(luò)、傳感器等。 當前的互聯(lián)網(wǎng)只限于信息共享，網(wǎng)絡(luò)則被認為是互聯(lián)網(wǎng)發(fā)展的第三階段。 看到這里,大家可能有點疑問,為什么我前面講的那些改的函數(shù)怎么沒有用到,我講出來不怕大家笑話:其實網(wǎng)上很多站點有些頁面的查詢語句看起來會是這樣: display.php?sqlsave=select+*+from+aaa+where+xx=yy+order+by+bbb+desc 不要笑,這是真的,我還靠這個進過幾個大型網(wǎng)站.至于哪一些,不好講出來,不過我們學校的網(wǎng)站,我就是靠這個進后臺的(希望學校網(wǎng)絡(luò)中心的看不到這篇文章,^_^).把前面那函數(shù)用上吧.不然你只有改人家的密碼了哦!!! 差點忘了一點,在SQL注入的時候,PHP與ASP有所不同,mysql對sql語句的運用沒有mssql靈活,因此,很多在mssql上可以用的查詢語句在mysql數(shù)據(jù)庫中都不能奏效了. 一般我們常見的注入語句像這樣:aaa.php?id=a' into outfile 'pass.txt或是aaa.php?id=a' into outfile 'pass.txt' /*再進一步可以改成:aaa.php?id=a' or 1=1 union select id,name,password form users into outfile 'c:/a.txt 這樣可以將數(shù)據(jù)庫數(shù)據(jù)導(dǎo)出為文件,然后可以查看. 或是這樣:mode=',user_level='4 這個語句一般用在修改資料時,假設(shè)頁面存在漏洞的話,就可以達到提升權(quán)限的做用. 其它的如' OR 1=1 -- 或者:1' or 1='1則跟asp差不多.這里不多講了.在php里面,SQL注入看來還是漏洞之首啊,有太多的頁面存在這個問題了. 其實大家可以看出來,上面那些分類歸根結(jié)底只有一個原因:提交參數(shù)沒過濾或是過濾不夠嚴謹.黑客防線向來有攻有守.這里,就大致講一下防范的方法吧. 首先,我個人認為最重要的一點是將magic_quotes_gpc高為ON,它的作用是將單引號,雙引號,反斜線,和空字符轉(zhuǎn)換為含有反斜線的字符,如select * from admin where username='$username' and password='$password'語句,攻擊者想用1' or 1='1跳過驗證,但是,那些字符串將被轉(zhuǎn)換成這樣:select * from admin where username='a' and password='1\' or 1=\'1'從而達到阻止注入的目的,事實也就是自動進行了addslashes()操作.再不行的話,自己定義函數(shù)處理吧.現(xiàn)在看來,那些搞PHP注入的人也比較郁悶,因為myslq4以下版本不支持子語句,而新版本的mysql又會將magic_quotes_gpc選項默認為開. 解決包含文件漏洞用的方法就是:要求程序員包含文件里的參數(shù)盡量不要使用變量，如果使用變量，就一定要嚴格檢查要包含的文件名，絕對不能由用戶任意指定,建議設(shè)global_variables為off。如前面文件打開中限制PHP操作路徑是一個必要的選項。另外，如非特殊需要，一定要關(guān)閉PHP的遠程文件打開功能。修改php.ini文件：allow_url_fopen = Off(注:參見<<PHP安全問題：遠程溢出、DoS、safe_mode繞過漏洞>>). 還有一點我覺得很多網(wǎng)站都會有這個問題,就是沒有關(guān)錯誤顯示.輕一看可能沒什么,但是一些盯了很久(用詞有點不對哦)的人就可以通過錯誤提示來獲得如數(shù)據(jù)庫信息,網(wǎng)頁文件物理路徑等等。 網(wǎng)絡(luò)的神奇作用吸引著越來越多的用戶加入其中，正因如此，網(wǎng)絡(luò)的承受能力也面臨著越來越嚴峻的考驗―從硬件上、軟件上、所用標準上......，各項技術(shù)都需要適時應(yīng)勢，對應(yīng)發(fā)展，這正是網(wǎng)絡(luò)迅速走向進步的催化劑。 |
溫馨提示：喜歡本站的話，請收藏一下本站！
本站發(fā)布的Win7純凈版系統(tǒng)、Win10純凈版和XP純凈版系統(tǒng)僅為個人學習測試使用，請在下載后24小時內(nèi)刪除，不得用于任何商業(yè)用途，否則后果自負，請支持購買微軟正版軟件！
本站所有資源全部來自于網(wǎng)絡(luò)資源,如侵犯到您的權(quán)益,請及時通知我們(),我們會及時處理.
Copyright © 2018-2020 蘿卜系統(tǒng) 手機站 關(guān)于本站
