php 代码执行（注入）是指应用程序过滤不严，用户可以 http 通过请求将代码注入到应用中执行。
3月28日，攻击者使用PHP的作者Rasmus Lerdorf和Jetbrains开发者Nikita Popov的账号，向git.php.net服务器上的 php-src 存储库推送了两次恶意提交。
最近（2021年3月28日），PHP 团队发现其 git.php.net 服务器被入侵，官方仓库中出现了两个恶意提交，并且这些提交伪造了 PHP 开发者和维护者 Rasmus Lerdorf 和 Nikita Popov 的签名。
不同的页面中有相同的代码部分，可以将其分离为单个文件。需要调用时，include 引入对应的文件即可调用。提高代码的复用率。
DVWA作为安全靶场软件，集合了各种常见的漏洞PHP代码。安全靶场有很多种，DVWA是众多靶场中的一个，对于经典的PHP的Web漏洞，DVWA虽然不能说表现的多么惊艳，但对于模拟漏洞的现场，用于复现测试，可以达到预期效果，例如：WebShell执行这种漏洞的复现，可以轻松的用DVWA进行漏洞现场还原。
起因 昨晚有人在一QQ群上问lcms（一款网站CMS系统）的一个漏洞是怎么形成的，说了半天。他截图不完整，于是叫他传代码，下载回来找到router.php代码片段如下： 这里我们先来看 getInpu
腾讯T-Sec主机安全作为云上最后一道防线，基于腾讯安全积累的海量威胁数据，利用机器学习，为客户提供全面检测和修复方案，守卫云上主机安全，并获得Gartner、Frost & Sullivan、赛可达实验室等多家机构权威认证。
浏览器和服务器之间只一种面向无连接的HTTP协议进行通讯的，面向无连接的程序的特点是客户端请求服务端，服务端根据请求输出相应的程序，不能保持持久连接。
最近学习了PHP命令执行，内容比较多，把自己学到的总结下来，加深理解，水平有限，欢迎大佬斧正。
意在对XSS跨站脚本攻击做的简单介绍，让大家对xss攻击有个初步认识，并能够在实际工作当中运用本文所述知识做些简单的、基础性的XSS攻击检测。
简单采集 <?php $url = 'http://demo.zjmainstay.cn/php/curl/simple.html'; $ch = curl_init($url);
随着使用 PHP 环境的用户越来越多，相关的安全问题也变得越来越重要。PHP 环境提供的安全模式是一个非常重要的内嵌安全机制，PHP 安全模式能有效控制一些 PHP 环境中的函数（例如system()函数），对大部分的文件操作函数进行权限控制，同时不允许对某些关键文件进行修改（例如 /etc/passwd）。但是，默认的 php.ini 配置文件并没有启用安全模式。
在php中 能够通过$_FILE 获取上传的文件 * 浏览器端部分代码() * 假定浏览器在form表单中如下标签 * 注1form提交数据需使用post提交 * 注2form提交数据时,需在form表单中添加enctype=multipart/form-data属性
这些页面将展示如何安全地处理 PHP 表单。对 HTML 表单数据进行适当的验证对于防范黑客和垃圾邮件很重要！
pdo连接数据库的有点是能实现不同数据库之间的转换，而且有事务功能的回滚，更有pdo::prepare();pdo:::execute()函数的预处理查询,所以我个人认为pdo的功能还是比较强大的，所有这篇日志只为我自己而写，希望看到这篇日志的兄弟们能对你们有所帮助。
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将(恶意)的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入(恶意)SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击.
原题地址：https://merak-ctf.site/challenges#%E5%A5%97%E5%A8%83
由于本人主力 Linux 换为了 WSL 中的 Ubuntu 22.04，因此本次 LFI-Labs 靶场将直接部署于该环境下，为避免众多环境问题让时间成本剧增，将使用 Docker 直接部署原作者封装好的版本。话虽这么说，貌似 Docker + WSL 本身就是庞大的时间成本。正文中一些容器内无法实现的操作将转为使用 Windows 本地部署的备用环境，直接 phpstudy 倒是相当方便。
首先我不是一名开发人员，只是一名小小的运维工程师，PHP是我自己喜欢的一门开发语言，所以我偶尔也会敲一些代码，写一些案例。今天我给大家分享的是使用PHP开发的留言板，留言板功能不全所以请大家见谅，也不知道满不满足企业开发的要求，大家看看就可以了，有什么不足的请大家提出谢谢！
在html中经常用到<form>标签。而我们在使用过程会经常这样用<input name=”sub” type=”submit” value=”提交” /> 也就是说当我们点击提交的时候会执行<form action=”file.php” method=”get” id=”se” name=”se”>action的动作（例子是提交到file.php页面）方法是get。 当没有提交按钮时而是用一个热图加onclick属性来完成，我们可以这样用 <form id=”search” name=”search”
6.配置php的FPM文件位置在 cd www/server/php/80/etc/ 到此目录下 执行 vim php-fpm.conf
1.概述 代码审核，是对应用程序源代码进行系统性检查的工作。它的目的是为了找到并且修复应用程序在开发阶段存在的一些漏洞或者程序逻辑错误，避免程序漏洞被非法利用给企业带来不必要的风险。 代码审核不是简单的检查代码，审核代码的原因是确保代码能安全的做到对信息和资源进行足够的保护，所以熟悉整个应用程序的业务流程对于控制潜在的风险是非常重要的。审核人员可以使用类似下面的问题对开发者进行访谈，来收集应用程序信息。 应用程序中包含什么类型的敏感信息，应用程序怎么保护这些信息的？ 应用程序是对内提供服务，还是对外？哪些人会使用，他们都是可信用户么？ 应用程序部署在哪里？ 应用程序对于企业的重要性？ 最好的方式是做一个checklist，让开发人员填写。Checklist能比较直观的反映应用程序的信息和开发人员所做的编码安全，它应该涵盖可能存在严重漏洞的模块，例如：数据验证、身份认证、会话管理、授权、加密、错误处理、日志、安全配置、网络架构。 2.输入验证和输出显示 大多数漏洞的形成原因主要都是未对输入数据进行安全验证或对输出数据未经过安全处理，比较严格的数据验证方式为： 对数据进行精确匹配； 接受白名单的数据； 拒绝黑名单的数据； 对匹配黑名单的数据进行编码； 在PHP中可由用户输入的变量列表如下： $_SERVER $_GET $_POST $_COOKIE $_REQUEST $_FILES $_ENV $_HTTP_COOKIE_VARS $_HTTP_ENV_VARS $_HTTP_GET_VARS $_HTTP_POST_FILES $_HTTP_POST_VARS $_HTTP_SERVER_VARS 我们应该对这些输入变量进行检查 1.命令注入 PHP执行系统命令可以使用以下几个函数：system、exec、passthru、“、shell_exec、popen、proc_open、pcntl_exec 我们通过在全部程序文件中搜索这些函数，确定函数的参数是否会因为外部提交而改变，检查这些参数是否有经过安全处理。 防范方法： 1.使用自定义函数或函数库来替代外部命令的功能 2.使用escapeshellarg函数来处理命令参数 3.使用safe_mode_exec_dir指定可执行文件的路径 2.跨站脚本 反 射型跨站常常出现在用户提交的变量接受以后经过处理，直接输出显示给客户端；存储型跨站常常出现在用户提交的变量接受过经过处理后，存储在数据库里，然后 又从数据库中读取到此信息输出到客户端。输出函数经常使用：echo、print、printf、vprintf、< %=$test%> 对于反射型跨站，因为是立即输出显示给客户端，所以应该在当前的php页面检查变量被客户提交之后有无立即显示，在这个过程中变量是否有经过安全检查。 对于存储型跨站，检查变量在输入后入库，又输出显示的这个过程中，变量是否有经过安全检查。 防范方法： 1.如果输入数据只包含字母和数字，那么任何特殊字符都应当阻止 2.对输入的数据经行严格匹配，比如邮件格式，用户名只包含英文或者中文、下划线、连字符 3.对输出进行HTML编码，编码规范 < < > > ( ( ) ) # # & & ” “ ‘ ‘ ` %60 3.文件包含 PHP可能出现文件包含的函数：include、include_once、require、require_once、show_source、highlight_file、readfile、file_get_contents、fopen、file 防范方法： 1.对输入数据进行精确匹配，比如根据变量的值确定语言en.php、cn.php，那么这两个文件放在同一个目录下’language/’.$_POST[‘lang’].’.php’，那么检查提交的数据是否是en或者cn是最严格的，检查是否只包含字母也不错 2.通过过滤参数中的/、..等字符 4.代码注入 PHP可能出现代码注入的函数：eval、preg_replace+/e、assert、call_user_func、call_user_func_array、create_function 查找程序中程序中使用这些函数的地方，检查提交变量是否用户可控，有无做输入验证 防范方法： 1.输入数据精确匹配 2.白名单方式过滤可执行的函数 5.SQL注入 SQL注入因为要操作数据库，所以一般会查找SQL语句关键字：insert、delete、update、select，查看传递的变量参数是否用户可控制，有无做过安全处理 防范方法： 使用参数化查询 6.XPath注入 Xpath用于操作xml，我们通过搜索xpath来分析，提交给xpath函数的参数是否有经过安全处理 防范方法： 对于数据进行精确匹配 7.HTTP响应拆分 PHP中可导致HTTP响应拆分的
笔者在6月份加入新团队，新团队这边刚组建起来，基础一些东西还处于待完善状态，比如笔者组内同学约定使用PSR-2的编码风格规范，但是并不是所有人都严格按照PSR-2来提交代码。
关于事务的问题，我们就不多解释了，以后在学习 MySQL 的相关内容时再深入的了解。今天我们主要是对 PDO 中操作事务的一些小测试，或许能发现一些比较好玩的内容。
所谓钩子实际上是一种事件机制，当系统执行到某个特殊事件时，会触发我们预定义的动作，这样的特殊事件在Subversion里有很多，默认有如下模板可供选择：
五．请求类型 ThinkPHP 提供了一组常量来判断当前请求是否是 GET、POST 等。通过判断请求处理不同的业务逻辑。 常量 含义 IS_GET 判断是否 GET 提交请求 IS_POST 判断是否 POST 提交请求 IS_PUT 判断是否 PUT 提交请求 IS_DELTE 判断是否 DELETE 提交请求 IS_AJAX 判断是否 AJAX 提交请求 //判断是否GET请求 if (IS_GET) { echo '是GET请求'; } else { echo '不是GET请求'; }
PHP在之前把源代码迁移到了git下管理, 同时也在github(https://github.com/php/php-src)上做了镜像, 这样一来, 就方便了更多的开发者为PHP来贡献代码.
浏览器是不识别 PHP 文件的，用浏览器发开 PHP 文件，只会显示 PHP 的源代码，所以 PHP 文件必须在服务器中执行。其实 apache 服务器也识别不了 PHP 文件，是 apache 将 PHP 文件再交给 PHP 模块处理的，最后 apache 将处理之后的网页内容返回。
在使用xml-rpc的时候，server端获取client数据，主要是通过php输入流input，而不是$_POST数组。所以，这里主要探讨php输入流php://input
由于nginx早期的版本，至少我在用 0.9.X 的版本依旧存在漏洞，导致处理过的图片可以执行php代码 简单的说就是写好的php代码将扩展名改为图片，如 xx.jpg 文件后通过 discuz 等开源论坛的上传功能上传后可以通过 http://xxx.com/bbs/data/xxxxxxxx/xx.jpg/1.php 方式执行 xx.php里面的代码 对于discuz 论坛使用nginx的服务器可以使用rewrite方式防止代码执行
对于我们的程序开发来说，用户的输入是解决安全性问题的第一大入口。为什么这么说呢？不管是SQL注入、XSS还是文件上传漏洞，全部都和用户提交的输入参数有关。今天我们不讲这些问题，我们主要探讨下面对用户的输入，有一些危险的函数在未经验证的情况下是不能直接使用这些函数来进行操作的，比如：
从本文开始，打算写一个系列文章。其主要目的是从xss-labs靶场题解开始来介绍一下XSS攻击。
原文出处： 彭长霖 本文所讨论的安全性环境是在Linux+Apache+Mysql+PHP。超出此范围的安全性问题不在本文范畴之内 一、apache server安全性设置 1、以Nobody用户运行 一般情况下，Apache是由Root 来安装和运行的。如果ApacheServer进程具有Root用户特权，那么它将给系统的安全构成很大的威胁，应确保Apache Server进程以最可能低的权限用户来运行。通过修改httpd.conf文件中的下列选项，以Nobody用户运行Apache 达到相对安全的
PHP中的许多预定义变量都是“超全局的”，这意味着它们在一个脚本的全部作用域中都可用。
我们php手手工安装的，php的默认配置文件在 /usr/local/apache2/conf/php.ini，我们最主要就是要配置php.ini中的内容，让我们执行php能够更安全。整个PHP中的安全设置主要是为了防止phpshell和SQL Injection的攻击，一下我们慢慢探讨。我们先使用任何编辑工具打开/etc/local/apache2/conf/php.ini，如果你是采用其他方式安装，配置文件可能不在该目录。
在函数体内定义的global变量,函数体外可以使用,在函数体外定义的global变量不能在函数体内使用，在全局范围内访问变量可以用特殊的 PHP 自定义 $GLOBALS 数组：
【1】页面之间无法传递变量 get,post,session在最新的php版本中自动全局变量是关闭 的，所以要从上一页面取得提交过来得变量要使 用$_GET['foo'],$_POST['foo'],$_SESSION ['foo']来得到。当然也可以修改自动全局变量为开(php.ini改 为register_globals = On)；考虑 到兼容性，还是强迫自己熟悉新的写法比较好。 注：PHP中的超全局变量 从PHP 4.2.0 开始，register_globals 的默认值为 off，这样一来，
1.定义常量define("CONSTANT", "Hello world."); 常量只能包含标量数据（boolean，integer，float 和 string）。 调用常量时，只需要简单的用名称取得常量的值，而不能加“$”符号，如：echo CONSTANT； 注: 常量和（全局）变量在不同的名字空间中。这意味着例如 TRUE 和 $TRUE 是不同的。 2.普通变量$a = "hello"; 3.可变变量（使用两个美元符号（$）） $$a = "world"; 两个变量都被定义了： $a 的内容是“hello”并且 $hello 的内容是“world”。 因此，可以表述为： echo "$a ${$a}";或者 echo "$a $hello";它们都会输出：hello world 要将可变变量用于数组，必须解决一个模棱两可的问题。这就是当写下 $$a[1] 时，解析器需要知道是想要 $a[1] 作为一个变量呢，还是想要 $$a 作为一个变量并取出该变量中索引为 [1] 的值。解决此问题的语法是，对第一种情况用 ${$a[1]}，对第二种情况用 ${$a}[1]。 4.静态变量 在函数内部static $a = 0; 注意：声明中用表达式的结果对其赋值会导致解析错误如static $a =3+3;（error） 静态变量仅在局部函数域中存在（函数内部），函数执行完之后，变量值不会丢失,可用于递归调用 5.全局变量 在函数体内定义的global变量,函数体外可以使用,在函数体外定义的global变量不能在函数体内使用，在全局范围内访问变量可以用特殊的 PHP 自定义 $GLOBALS 数组： 如：$GLOBALS["b"] = $GLOBALS["a"] + $GLOBALS["b"]; 在一个函数域内用 global 语句导入的一个真正的全局变量实际上是建立了一个到全局变量的引用 global $obj; 注：对于变量的 static 和 global 定义是以 应用 的方式实现的 6.给变量赋值：传地址赋值（简单引用）： $bar = &$foo; //加&符号到将要赋值的变量前 改动新的变量将影响到原始变量，这种赋值操作更加快速 注意：只有命名变量才可以传地址赋值 注意：如果 $bar = &$a; $bar = &$foo; 改变$bar的值只能改变变量foo的值，而不改变a的值（引用/【技术点，其实还需要更多地实践】/改变了） 7.PHP 超全局变量$GLOBALS ： 包含一个引用指向每个当前脚本的全局范围内有效的变量。该数组的键标为全局变量的 名称。从 PHP 3 开始存在 $GLOBALS 数组。 $_SERVER ： 变量由 Web 服务器设定或者直接与当前脚本的执行环境相关联。类似于旧数组 $HTTP_SERVER_VARS 数组（依然有效，但反对使用）。
PHP（Hypertext Preprocessor）即“超文本预处理器”，是在服务器端执行的脚本语言，尤其适用于Web开发并可嵌入HTML中。PHP语法利用了C、Java和Perl，该语言的主要目标是让web开发人员快速编写动态网页。前段时间，监测到PHP官方发布通告称，有人入侵了PHP编程语言的官方Git服务器，并提交了包含后门文件的更新包。
是一种结构化的查询语言，用于与数据库进行交互并能够被数据库解析。SQL注入攻击是一种常见的注入攻击类型。攻击方式在用户与程序进行交互时发生的。如在表单输入、搜索框输入功能中插入SQL命令，然后发送到服务端。服务端对数据进行了解析执行，并执行了一些非预期的操作。
朋友的这个问题真的很无语，可能会出现在使用 SVN 的情况下，使用 Git 进行团队开发忽略以后是不会出现这种问题的
由于学校科技立项的项目需要实现Android App端与PHP Web端的简单数据交互的实现，当前场景是Web端使用的是MySql数据库，Apache服务器和PHP语言编写的。数据交互的简单理解就是Android能向服务端进行数据获取，同时也能进行数据提交。
非持久型XSS也称反射型XSS。具体原理就是当用户提交一段代码的时候，服务端会马上返回页面的执行结果。那么当攻击者让被攻击者提交一个伪装好的带有恶意代码的链接时，服务端也会立刻处理这段恶意代码，并返回执行结果。如果服务端对这段恶意代码不加过滤的话，恶意代码就会在页面上被执行，攻击就成功了。举个例子，一般的网页是有搜索框的对吧，如果攻击者搜索一段带有html标签的字符串，搜索的结果就会以该形式显现在页面上，或者至少页面上会包含用户搜索的字符串，而如果我们提交一段精心构造的字符串时，并且服务端没有对其做任何处理时，XSS漏洞就产生了。
在使用ajaxForm方法之前，首先需要安装form.js的插件,网上有； 一、首先说用法，ajaxForm可以接收0或1个参数，该参数可以是一个变量、一个对象或回调函数，这个对象主要有以下参数：
该培训中提及的技术只适用于合法CTF比赛和有合法授权的渗透测试，请勿用于其他非法用途，如用作其他非法用途与本文作者无关
XXE是一种很常见的漏洞类型危害也挺大的，如果一个web服务器通过用户上传处理XML文件或POST请求时，那么可能就会存在漏洞。
本文实例讲述了php使用gearman进行任务分发操作。分享给大家供大家参考，具体如下：
简单地说自动部署钩子就是实现代码同步的一个程序，程序会在特定的情况会被触发，比如开发者将代码推送到git服务器时。本文使用PHP语言来编写一个能实现PHP项目自动部署的程序。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
