为了数据安全,防止注入需要过滤$_GET获得的字符串,一开始我还自已写过滤的函数,后来看到php自带的一个过滤函数,所以把addslashes推荐给大家.
一个使用 addslashes() 的例子是当你要往数据库中输入数据时,例如,将名字 O'reilly插入到数据库中,这就需要对其进行转义,大多数据库使用作为转义符：O'reilly,这样可以将数据放入数据库中,而不会插入额外的,当 PHP 指令 magic_quotes_sybase 被设置成 on 时,意味着插入 ' 时将使用 ' 进行转义.
一开始是用验证码,别人就手动刷票，甚至网站花几百块买个验证码识别程序,限制ip地址,拔插网线就换了ip了,淘宝2块钱就可以买个ip自动变换器,自动重新拨号上网.
mysql_real_escape_string — 转义 SQL 语句中使用的字符串中的特殊字符,并考虑到连接的当前字符集.
但是注意:该函数并不转义 % 和 _,另外,最好不要对整条sql语句使用该函数,而是只转义传入sql语句的字符串参数,否则会发生意想不到的结果.
PHP使用eval(gzinflate(str_rot13(base64_decode('BASE64加密后内容'))))核心代码的解密下非扩展方式的php加密方法:
这里有个在线的,还不错,木马防杀还行,要保护代码可就不行了,对应的写了一个简单的解密的,专门针对eval,这个原理很有用途.
PHP使用eval(gzinflate(str_rot13(base64_decode('BASE64加密后内容'))))核心代码的解密下非扩展方式的php加密方法.
这里有个在线的,还不错,木马防杀还行,要保护代码可就不行了,对应的写了一个简单的解密的,专门针对eval,这个原理很有用途.
对于一些常见的输出目标(包括客户端、数据库教程和URL)的转义,PHP 中有内置函数可用.
如果你要写一个自己算法,做到万无一失很重要,需要找到在外系统中特殊字符的可靠和完整的列表,以及它们的表示方式,这样数据是被保留下来而不是转译了.
我们利用了php自带的Magic Quotes来判断是否是开启了,如果是就stripslashes否则就用mysql_real_escape_string来过滤,实例代码如下:
注:mysql_real_escape_string函数要等到mysql数据库连接成功才有效.
本文章利用三个文件来简单的讲了一下关于php中怎么去应用中文验证码,中文因为是汉字可能出现乱码所以我们就定义了一个文件来专门处理,有需要的朋友可以参考下.
我们举例只讲linux的系统,但是防止方法在任何系统都是有效的,下面我们先来看看等操作,你可以这样使用,代码如下:
http://www.phprm.com/index.php?page=../etc/passwd
只要我们作好了各类操作就可在基本防止一些朋友利用网站本身的漏洞进行网站操作了,很多在php中都有的如XSS用 htmlentities()预防XSS攻击还有sql注入可以用mysql_real_escape_string操作等.
开启magic_quote_gpc=on之后,能实现addslshes()和stripslashes()这两个函数的功能。在PHP4.0及以上的版本中,该选项默认情况下是开启的,所以在PHP4.0及以上的版本中，就算PHP程序中的参数没有进行过滤,PHP系统也会对每一个通过GET、POST、COOKIE方式传递的变量自动转换,换句话说,输入的注入攻击代码将会全部被转换，将给攻击者带来非常大的困难。