php漏洞全解

『壹』 web漏洞攻擊有哪些

一、SQL注入漏洞
SQL注入攻擊（SQL Injection），簡稱注入攻擊、SQL注入，被廣泛用於非法獲取網站控制權，是發生在應用程序的資料庫層上的安全漏洞。在設計程序，忽略了對輸入字元串中夾帶的SQL指令的檢查，被資料庫誤認為是正常的SQL指令而運行，從而使資料庫受到攻擊，可能導致數據被竊取、更改、刪除，以及進一步導致網站被嵌入惡意代碼、被植入後門程序等危害。
通常情況下，SQL注入的位置包括：
（1）表單提交，主要是POST請求，也包括GET請求；
（2）URL參數提交，主要為GET請求參數；
（3）Cookie參數提交；
（4）HTTP請求頭部的一些可修改的值，比如Referer、User_Agent等；
（5）一些邊緣的輸入點，比如.mp3文件的一些文件信息等。
常見的防範方法
（1）所有的查詢語句都使用資料庫提供的參數化查詢介面，參數化的語句使用參數而不是將用戶輸入變數嵌入到SQL語句中。當前幾乎所有的資料庫系統都提供了參數化SQL語句執行介面，使用此介面可以非常有效的防止SQL注入攻擊。
（2）對進入資料庫的特殊字元（』」<>&*;等）進行轉義處理，或編碼轉換。
（3）確認每種數據的類型，比如數字型的數據就必須是數字，資料庫中的存儲欄位必須對應為int型。
（4）數據長度應該嚴格規定，能在一定程度上防止比較長的SQL注入語句無法正確執行。
（5）網站每個數據層的編碼統一，建議全部使用UTF-8編碼，上下層編碼不一致有可能導致一些過濾模型被繞過。
（6）嚴格限制網站用戶的資料庫的操作許可權，給此用戶提供僅僅能夠滿足其工作的許可權，從而最大限度的減少注入攻擊對資料庫的危害。
（7）避免網站顯示SQL錯誤信息，比如類型錯誤、欄位不匹配等，防止攻擊者利用這些錯誤信息進行一些判斷。
（8）在網站發布之前建議使用一些專業的SQL注入檢測工具進行檢測，及時修補這些SQL注入漏洞。

二、跨站腳本漏洞
跨站腳本攻擊（Cross-site scripting，通常簡稱為XSS）發生在客戶端，可被用於進行竊取隱私、釣魚欺騙、竊取密碼、傳播惡意代碼等攻擊。
XSS攻擊使用到的技術主要為HTML和Javascript，也包括VBScript和ActionScript等。XSS攻擊對WEB伺服器雖無直接危害，但是它藉助網站進行傳播，使網站的使用用戶受到攻擊，導致網站用戶帳號被竊取，從而對網站也產生了較嚴重的危害。
XSS類型包括：
（1）非持久型跨站：即反射型跨站腳本漏洞，是目前最普遍的跨站類型。跨站代碼一般存在於鏈接中，請求這樣的鏈接時，跨站代碼經過服務端反射回來，這類跨站的代碼不存儲到服務端（比如資料庫中）。上面章節所舉的例子就是這類情況。
（2）持久型跨站：這是危害最直接的跨站類型，跨站代碼存儲於服務端（比如資料庫中）。常見情況是某用戶在論壇發貼，如果論壇沒有過濾用戶輸入的Javascript代碼數據，就會導致其他瀏覽此貼的用戶的瀏覽器會執行發貼人所嵌入的Javascript代碼。
（3）DOM跨站（DOM XSS）：是一種發生在客戶端DOM（Document Object Model文檔對象模型）中的跨站漏洞，很大原因是因為客戶端腳本處理邏輯導致的安全問題。
常用的防止XSS技術包括：
（1）與SQL注入防護的建議一樣，假定所有輸入都是可疑的，必須對所有輸入中的script、iframe等字樣進行嚴格的檢查。這里的輸入不僅僅是用戶可以直接交互的輸入介面，也包括HTTP請求中的Cookie中的變數，HTTP請求頭部中的變數等。
（2）不僅要驗證數據的類型，還要驗證其格式、長度、范圍和內容。
（3）不要僅僅在客戶端做數據的驗證與過濾，關鍵的過濾步驟在服務端進行。
（4）對輸出的數據也要檢查，資料庫里的值有可能會在一個大網站的多處都有輸出，即使在輸入做了編碼等操作，在各處的輸出點時也要進行安全檢查。
（5）在發布應用程序之前測試所有已知的威脅。

三、弱口令漏洞
弱口令(weak password) 沒有嚴格和准確的定義，通常認為容易被別人（他們有可能對你很了解）猜測到或被破解工具破解的口令均為弱口令。設置密碼通常遵循以下原則：
（1）不使用空口令或系統預設的口令，這些口令眾所周之，為典型的弱口令。
（2）口令長度不小於8個字元。
（3）口令不應該為連續的某個字元（例如：AAAAAAAA）或重復某些字元的組合（例如：tzf.tzf.）。
（4）口令應該為以下四類字元的組合，大寫字母(A-Z)、小寫字母(a-z)、數字(0-9)和特殊字元。每類字元至少包含一個。如果某類字元只包含一個，那麼該字元不應為首字元或尾字元。
（5）口令中不應包含本人、父母、子女和配偶的姓名和出生日期、紀念日期、登錄名、E-mail地址等等與本人有關的信息，以及字典中的單詞。
（6）口令不應該為用數字或符號代替某些字母的單詞。
（7）口令應該易記且可以快速輸入，防止他人從你身後很容易看到你的輸入。
（8）至少90天內更換一次口令，防止未被發現的入侵者繼續使用該口令。

四、HTTP報頭追蹤漏洞
HTTP/1.1（RFC2616）規范定義了HTTP TRACE方法，主要是用於客戶端通過向Web伺服器提交TRACE請求來進行測試或獲得診斷信息。當Web伺服器啟用TRACE時，提交的請求頭會在伺服器響應的內容（Body）中完整的返回，其中HTTP頭很可能包括Session Token、Cookies或其它認證信息。攻擊者可以利用此漏洞來欺騙合法用戶並得到他們的私人信息。該漏洞往往與其它方式配合來進行有效攻擊，由於HTTP TRACE請求可以通過客戶瀏覽器腳本發起（如XMLHttpRequest），並可以通過DOM介面來訪問，因此很容易被攻擊者利用。
防禦HTTP報頭追蹤漏洞的方法通常禁用HTTP TRACE方法。

五、Struts2遠程命令執行漏洞
ApacheStruts是一款建立Java web應用程序的開放源代碼架構。Apache Struts存在一個輸入過濾錯誤，如果遇到轉換錯誤可被利用注入和執行任意Java代碼。
網站存在遠程代碼執行漏洞的大部分原因是由於網站採用了Apache Struts Xwork作為網站應用框架，由於該軟體存在遠程代碼執高危漏洞，導致網站面臨安全風險。CNVD處置過諸多此類漏洞，例如：「GPS車載衛星定位系統」網站存在遠程命令執行漏洞(CNVD-2012-13934)；Aspcms留言本遠程代碼執行漏洞（CNVD-2012-11590）等。
修復此類漏洞，只需到Apache官網升級Apache Struts到最新版本：http://struts.apache.org

六、文件上傳漏洞
文件上傳漏洞通常由於網頁代碼中的文件上傳路徑變數過濾不嚴造成的，如果文件上傳功能實現代碼沒有嚴格限制用戶上傳的文件後綴以及文件類型，攻擊者可通過 Web 訪問的目錄上傳任意文件，包括網站後門文件（webshell），進而遠程式控制制網站伺服器。
因此，在開發網站及應用程序過程中，需嚴格限制和校驗上傳的文件，禁止上傳惡意代碼的文件。同時限制相關目錄的執行許可權，防範webshell攻擊。

七、私有IP地址泄露漏洞
IP地址是網路用戶的重要標示，是攻擊者進行攻擊前需要了解的。獲取的方法較多，攻擊者也會因不同的網路情況採取不同的方法，如：在區域網內使用Ping指令，Ping對方在網路中的名稱而獲得IP；在Internet上使用IP版的QQ直接顯示。最有效的辦法是截獲並分析對方的網路數據包。攻擊者可以找到並直接通過軟體解析截獲後的數據包的IP包頭信息，再根據這些信息了解具體的IP。
針對最有效的「數據包分析方法」而言，就可以安裝能夠自動去掉發送數據包包頭IP信息的一些軟體。不過使用這些軟體有些缺點，譬如：耗費資源嚴重，降低計算機性能；訪問一些論壇或者網站時會受影響；不適合網吧用戶使用等等。現在的個人用戶採用最普及隱藏IP的方法應該是使用代理，由於使用代理伺服器後，「轉址服務」會對發送出去的數據包有所修改，致使「數據包分析」的方法失效。一些容易泄漏用戶IP的網路軟體(QQ、MSN、IE等)都支持使用代理方式連接Internet，特別是QQ使用「ezProxy」等代理軟體連接後，IP版的QQ都無法顯示該IP地址。雖然代理可以有效地隱藏用戶IP，但攻擊者亦可以繞過代理，查找到對方的真實IP地址，用戶在何種情況下使用何種方法隱藏IP，也要因情況而論。

八、未加密登錄請求
由於Web配置不安全，登陸請求把諸如用戶名和密碼等敏感欄位未加密進行傳輸，攻擊者可以竊聽網路以劫獲這些敏感信息。建議進行例如SSH等的加密後再傳輸。

九、敏感信息泄露漏洞
SQL注入、XSS、目錄遍歷、弱口令等均可導致敏感信息泄露，攻擊者可以通過漏洞獲得敏感信息。針對不同成因，防禦方式不同

十、CSRF
http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html

Web應用是指採用B/S架構、通過HTTP/HTTPS協議提供服務的統稱。隨著互聯網的廣泛使用，Web應用已經融入到日常生活中的各個方面：網上購物、網路銀行應用、證券股票交易、政府行政審批等等。在這些Web訪問中，大多數應用不是靜態的網頁瀏覽，而是涉及到伺服器側的動態處理。此時，如果Java、php、ASP等程序語言的編程人員的安全意識不足，對程序參數輸入等檢查不嚴格等，會導致Web應用安全問題層出不窮。

本文根據當前Web應用的安全情況，列舉了Web應用程序常見的攻擊原理及危害，並給出如何避免遭受Web攻擊的建議。

Web應用漏洞原理
Web應用攻擊是攻擊者通過瀏覽器或攻擊工具，在URL或者其它輸入區域（如表單等），向Web伺服器發送特殊請求，從中發現Web應用程序存在的漏洞，從而進一步操縱和控制網站，查看、修改未授權的信息。

1.1 Web應用的漏洞分類
1、信息泄露漏洞

信息泄露漏洞是由於Web伺服器或應用程序沒有正確處理一些特殊請求，泄露Web伺服器的一些敏感信息，如用戶名、密碼、源代碼、伺服器信息、配置信息等。

造成信息泄露主要有以下三種原因：

–Web伺服器配置存在問題，導致一些系統文件或者配置文件暴露在互聯網中；

–Web伺服器本身存在漏洞，在瀏覽器中輸入一些特殊的字元，可以訪問未授權的文件或者動態腳本文件源碼；

–Web網站的程序編寫存在問題，對用戶提交請求沒有進行適當的過濾，直接使用用戶提交上來的數據。

2、目錄遍歷漏洞

目錄遍歷漏洞是攻擊者向Web伺服器發送請求，通過在URL中或在有特殊意義的目錄中附加「../」、或者附加「../」的一些變形（如「..\」或「..//」甚至其編碼），導致攻擊者能夠訪問未授權的目錄，以及在Web伺服器的根目錄以外執行命令。

3、命令執行漏洞

命令執行漏洞是通過URL發起請求，在Web伺服器端執行未授權的命令，獲取系統信息，篡改系統配置，控制整個系統，使系統癱瘓等。

命令執行漏洞主要有兩種情況：

–通過目錄遍歷漏洞，訪問系統文件夾，執行指定的系統命令；

–攻擊者提交特殊的字元或者命令，Web程序沒有進行檢測或者繞過Web應用程序過濾，把用戶提交的請求作為指令進行解析，導致執行任意命令。

4、文件包含漏洞

文件包含漏洞是由攻擊者向Web伺服器發送請求時，在URL添加非法參數，Web伺服器端程序變數過濾不嚴，把非法的文件名作為參數處理。這些非法的文件名可以是伺服器本地的某個文件，也可以是遠端的某個惡意文件。由於這種漏洞是由PHP變數過濾不嚴導致的，所以只有基於PHP開發的Web應用程序才有可能存在文件包含漏洞。

5、SQL注入漏洞

SQL注入漏洞是由於Web應用程序沒有對用戶輸入數據的合法性進行判斷，攻擊者通過Web頁面的輸入區域(如URL、表單等) ，用精心構造的SQL語句插入特殊字元和指令，通過和資料庫交互獲得私密信息或者篡改資料庫信息。SQL注入攻擊在Web攻擊中非常流行，攻擊者可以利用SQL注入漏洞獲得管理員許可權，在網頁上加掛木馬和各種惡意程序，盜取企業和用戶敏感信息。

6、跨站腳本漏洞

跨站腳本漏洞是因為Web應用程序時沒有對用戶提交的語句和變數進行過濾或限制，攻擊者通過Web頁面的輸入區域向資料庫或HTML頁面中提交惡意代碼，當用戶打開有惡意代碼的鏈接或頁面時，惡意代碼通過瀏覽器自動執行，從而達到攻擊的目的。跨站腳本漏洞危害很大，尤其是目前被廣泛使用的網路銀行，通過跨站腳本漏洞攻擊者可以冒充受害者訪問用戶重要賬戶，盜竊企業重要信息。

根據前期各個漏洞研究機構的調查顯示，SQL注入漏洞和跨站腳本漏洞的普遍程度排名前兩位，造成的危害也更加巨大。

1.2 SQL注入攻擊原理
SQL注入攻擊是通過構造巧妙的SQL語句，同網頁提交的內容結合起來進行注入攻擊。比較常用的手段有使用注釋符號、恆等式（如1＝1）、使用union語句進行聯合查詢、使用insert或update語句插入或修改數據等，此外還可以利用一些內置函數輔助攻擊。

通過SQL注入漏洞攻擊網站的步驟一般如下：

第一步：探測網站是否存在SQL注入漏洞。

第二步：探測後台資料庫的類型。

第三步：根據後台資料庫的類型，探測系統表的信息。

第四步：探測存在的表信息。

第五步：探測表中存在的列信息。

第六步：探測表中的數據信息。

1.3 跨站腳本攻擊原理
跨站腳本攻擊的目的是盜走客戶端敏感信息,冒充受害者訪問用戶的重要賬戶。跨站腳本攻擊主要有以下三種形式：

1、本地跨站腳本攻擊

B給A發送一個惡意構造的Web URL，A點擊查看了這個URL，並將該頁面保存到本地硬碟（或B構造的網頁中存在這樣的功能）。A在本地運行該網頁，網頁中嵌入的惡意腳本可以A電腦上執行A持有的許可權下的所有命令。

2、反射跨站腳本攻擊

A經常瀏覽某個網站，此網站為B所擁有。A使用用戶名/密碼登錄B網站，B網站存儲下A的敏感信息（如銀行帳戶信息等）。C發現B的站點包含反射跨站腳本漏洞，編寫一個利用漏洞的URL，域名為B網站，在URL後面嵌入了惡意腳本（如獲取A的cookie文件），並通過郵件或社會工程學等方式欺騙A訪問存在惡意的URL。當A使用C提供的URL訪問B網站時，由於B網站存在反射跨站腳本漏洞，嵌入到URL中的惡意腳本通過Web伺服器返回給A，並在A瀏覽器中執行，A的敏感信息在完全不知情的情況下將發送給了C。

3、持久跨站腳本攻擊

B擁有一個Web站點，該站點允許用戶發布和瀏覽已發布的信息。C注意到B的站點具有持久跨站腳本漏洞，C發布一個熱點信息，吸引用戶閱讀。A一旦瀏覽該信息，其會話cookies或者其它信息將被C盜走。持久性跨站腳本攻擊一般出現在論壇、留言簿等網頁，攻擊者通過留言，將攻擊數據寫入伺服器資料庫中，瀏覽該留言的用戶的信息都會被泄漏。

Web應用漏洞的防禦實現
對於以上常見的Web應用漏洞漏洞，可以從如下幾個方面入手進行防禦：

1)對 Web應用開發者而言

大部分Web應用常見漏洞，都是在Web應用開發中，開發者沒有對用戶輸入的參數進行檢測或者檢測不嚴格造成的。所以，Web應用開發者應該樹立很強的安全意識，開發中編寫安全代碼；對用戶提交的URL、查詢關鍵字、HTTP頭、POST數據等進行嚴格的檢測和限制，只接受一定長度范圍內、採用適當格式及編碼的字元，阻塞、過濾或者忽略其它的任何字元。通過編寫安全的Web應用代碼，可以消除絕大部分的Web應用安全問題。

2) 對Web網站管理員而言

作為負責網站日常維護管理工作Web管理員，應該及時跟蹤並安裝最新的、支撐Web網站運行的各種軟體的安全補丁，確保攻擊者無法通過軟體漏洞對網站進行攻擊。

除了軟體本身的漏洞外，Web伺服器、資料庫等不正確的配置也可能導致Web應用安全問題。Web網站管理員應該對網站各種軟體配置進行仔細檢測，降低安全問題的出現可能。

此外，Web管理員還應該定期審計Web伺服器日誌，檢測是否存在異常訪問，及早發現潛在的安全問題。

3）使用網路防攻擊設備

前兩種為事前預防方式，是比較理想化的情況。然而在現實中，Web應用系統的漏洞還是不可避免的存在：部分Web網站已經存在大量的安全漏洞，而Web開發者和網站管理員並沒有意識到或發現這些安全漏洞。由於Web應用是採用HTTP協議，普通的防火牆設備無法對Web類攻擊進行防禦，因此可以使用IPS入侵防禦設備來實現安全防護。

H3C IPS Web攻擊防禦

H3C IPS入侵防禦設備有一套完整的Web攻擊防禦框架，能夠及時發現各種已經暴露的和潛在的Web攻擊。下圖為對於Web攻擊的總體防禦框架。

圖1：Web攻擊防禦框架，參見：http://blog.csdn.net/moshenglv/article/details/53439579

H3C IPS採用基於特徵識別的方式識別並阻斷各種攻擊。IPS設備有一個完整的特徵庫，並可定期以手工與自動的方式對特徵庫進行升級。當網路流量進入IPS後，IPS首先對報文進行預處理，檢測報文是否正確，即滿足協議定義要求，沒有錯誤欄位；如果報文正確，則進入深度檢測引擎。該引擎是IPS檢測的核心模塊，對通過IPS設備的Web流量進行深層次的分析，並與IPS攻擊庫中的特徵進行匹配，檢測Web流量是否存在異常；如果發現流量匹配了攻擊特徵，IPS則阻斷網路流量並上報日誌；否則，網路流量順利通過。

此Web攻擊防禦框架有如下幾個特點：

1) 構造完整的Web攻擊檢測模型，准確識別各種Web攻擊

針對Web攻擊的特點，考慮到各種Web攻擊的原理和形態，在不同漏洞模型之上開發出通用的、層次化的Web攻擊檢測模型，並融合到特徵庫中。這些模型抽象出Web攻擊的一般形態，對主流的攻擊能夠准確識別，使得模型通用化。

2) 檢測方式靈活，可以准確識別變形的Web攻擊

在實際攻擊中，攻擊者為了逃避防攻擊設備的檢測，經常對Web攻擊進行變形，如採用URL編碼技術、修改參數等。H3C根據Web應用漏洞發生的原理、攻擊方式和攻擊目標，對攻擊特徵進行了擴展。即使攻擊者修改攻擊參數、格式、語句等內容，相同漏洞原理下各種變形的攻擊同樣能夠被有效阻斷。這使得IPS的防禦范圍擴大，防禦的靈活性也顯著增強，極大的減少了漏報情況的出現。

3) 確保對最新漏洞及技術的跟蹤，有效阻止最新的攻擊

隨著Web攻擊出現的頻率日益增高，其危害有逐步擴展的趨勢。這對IPS設備在防禦的深度和廣度上提出了更高的要求，不僅要能夠防禦已有的Web攻擊，更要有效的阻止最新出現的、未公布的攻擊。目前，H3C已經建立起一套完整的攻防試驗環境，可以及時發現潛在Web安全漏洞。同時還在繼續跟蹤最新的Web攻擊技術和工具，及時更新Web攻擊的特徵庫，第一時間發布最新的Web漏洞應對措施，確保用戶的網路不受到攻擊。

4) 保證正常業務的高效運行

檢測引擎是IPS整個設備運行的關鍵，該引擎使用了高效、准確的檢測演算法，對通過設備的流量進行深層次的分析，並通過和攻擊特徵進行匹配，檢測流量是否存在異常。如果流量沒有匹配到攻擊特徵，則允許流量通過，不會妨礙正常的網路業務，在准確防禦的同時保證了正常業務的高效運行。

結束語

互聯網和Web技術廣泛使用，使Web應用安全所面臨的挑戰日益嚴峻，Web系統時時刻刻都在遭受各種攻擊的威脅，在這種情況下，需要制定一個完整的Web攻擊防禦解決方案，通過安全的Web應用程序、Web伺服器軟體、Web防攻擊設備共同配合，確保整個網站的安全。任何一個簡單的漏洞、疏忽都會造成整個網站受到攻擊，造成巨大損失。此外 ，Web攻擊防禦是一個長期持續的工作，隨著Web技術的發展和更新，Web攻擊手段也不斷發展，針對這些最新的安全威脅，需要及時調整Web安全防護策略，確保Web攻擊防禦的主動性，使Web網站在一個安全的環境中為企業和客戶服務。

原文鏈接：

『貳』 PHP的其他方面

PHP 在資料庫方面的豐富支持，也是它迅速走紅的原因之一，它支持下列的資料庫或是數據文件：
Adabas 、D、 DBA、dBase 、dbm 、filePro 、Informix 、InterBase、mSQL 、Microsoft SQL Server、·MySQL、Solid、Sybase、 Oracle 、PostgreSQL
而在 Internet 上它也支持了相當多的通訊協議 (protocol），包括了與電子郵件相關的 IMAP,POP3；網管系統 SNMP；網路新聞NNTP；帳號共用 NIS；全球信息網 HTTP 及 Apache 伺服器；目錄協議 LDAP 以及其它網路的相關函數。
除此之外，用 PHP 寫出來的 Web 後端 CGI 程序，可以很輕易的移植到不同的操作系統上。例如，先以 linux 架的網站，在系統負荷過高時，可以快速地將整個系統移到 SUN 工作站上，不用重新編譯 CGI 程序。面對快速發展的 Internet，這是長期規劃的最好選擇。
相關語法及概念
php 支持八種原始類型。
四種標量類型：boolean（布爾型） integer（整型） float（浮點型，也作「double」） string（字元串）
兩種復合類型：array（數組）object（對象）
最後是兩種特殊類型：resource（資源）NULL
為了確保代碼的易讀性，本手冊還介紹了一些偽類型：mixed、number、callback
語法（例子中均忽略了PHP代碼邊界符 <?php ?>）：
注釋的語法有三種： //comment這個是單行注釋/*comment*/這個是多行注釋#comment這個是腳本類型注釋，很少用基本的結構控制語句: //分支結構（選擇結構）if(condition){//Statement}if(condition){//Statement}else{//Statement}if(condition){//Statement}elseif(condition){//Statement}//多分支結構switch($變數){case'值'://Statementbreak;case'值2'://Statementbreak;default://Statement}//循環結構while(condition){//Statement}do{//Statement}while(condition);for(初始化;判斷;變化){//Statement}//數組遍歷專用循環語句foreach($Arrayas$value){echo$value;}foreach($Arrayas$key=>$value){echo$key;echo$value;}一個PHP實例： <html><head><title>Firstprogram</title></head><body>//php中string類型的拼接符和其它大多數採用+號運算符不一樣，而是採用.號運算//在一般語言中用於對象屬性和方法調用的.運算符，則和C語言的結構體一樣用=><?phpechohelloworld.!;?></body></html>php對面向對象的支持
面向對象編程的概念：
不同的作者之間說法可能不一樣，但是一個OOP語言必須有以下幾方面：
1.抽象數據類型和信息封裝
2.繼承
3.多態
在PHP中是通過類來完成封裝的： //在OOP類中，通常採用大雙駝峰命名法，每個單詞的首字母都大寫classSomething{//作用域修飾符：public公共的；private私有的；protected受保護的；//屬性的名稱一般用全小寫private$x=null;//在編程建議中，內部使用的屬性應該給私有修飾符，然後通過方法取值賦值//方法的名稱一般用小駝峰命名法，第一個單詞全小寫，剩下的單詞首字母大寫//因為PHP不會自動為變數使用$this所以必須主動加上$this偽變數來指向操作的對象publicfunctionsetX($v){$this->x=$v;}publicfunctiongetX(){return$this->x;}}當然你可以按自己的喜好進行定義，但最好保持一種標准，這樣會更有效。數據成員在類中使用var聲明來定義，在給數據成員賦值之前，它們是沒有類型的。一個數據成員可以是一個整數，一個數組，一個相關數組（associative array）或者是一個對象。方法在類中被定義成函數形式，在方法中訪問類成員變數時，你應該使用$this->name，否則對一個方法來說，它只能是局部變數。
使用new操作符來創建一個對象： $obj=newSomething;然後你可以使用成員函數通過： $obj->setX(5)；$see=$obj->getX();echo$see;在這個例子中，setX成員函數將5賦值給對象的成員變數x（不是類的），然後getX返回它的值5。可以象：$obj->x=6那樣通過類引用方式來存取數據成員，這不是一個很好的OOP習慣。我強烈建議通過方法來存取成員變數。如果你把成員變數看成是不可處理的，並且只通過對象句柄來使用方法，你將是一個好的OOP程序員。不幸的是，PHP不支持聲明私有成員變數，所以不良代碼在PHP中也是允許的。繼承在PHP中很容易實現，只要使用extends關鍵字。 classAnotherextendsSomething{private$y;publicfunctionsetY($v){$this->y=$v;}functiongetY(){return$this->y;}}Another類的對象擁有了父類（Something）的全部的數據成員及方法，而且還加上了自己的數據成員和方法。
你可以使用 $obj2=newAnother;$obj2->setY(5);echo$obj2->getY();PHP只支持單繼承，所以你不能從兩個或兩個以上類派生出新的類來。你可以在派生類中重定義一個方法，如果我們在Another類中重定義了getX方法（方法重寫），我們就不能使 用Something中的getX方法了。如果你在派生類中聲明了一個與基派同名的數據成員，那麼當你處理它時， 它將「隱藏」基類的數據成員。
你可以在你的類中定義構造函數。構造函數是一個與類名同名的方法，當你創建一個類的對象時會被調用，例如： classSomething{private$x=null;//新版本的構造函數放棄使用類名，而統一使用__construct()publicfunction__construct($x){$this->x=$x;}publicfunctionsetX($v){$this->x=$v;}publicfunctiongetX(){return$this->x;}//析構函數publicfunction__destruct(){}}所以你可以創建一個對象，通過： $obj=newSomething(6)；構造函數會自動地把6賦值給數據變數x。構造函數和方法都是普通的PHP函數(」__「兩個下劃線，魔術方法)，所以你可以使用預設參數。 publicfunction__construct($x=3,$y=5){}接著： $obj=newSomething();//x=3andy=5$obj=newSomething(8);//x=8andy=5$obj=newSomething(8,9);//x=8andy=9預設參數使用C++的方式，所以你不能忽略Y的值，而給X一個預設參數，參數是從左到右賦值的，如果傳入的參數少於要求的參數時，其作的將使用預設參數。
當一個派生類的對象被創建時，只有它的構造函數被調用，父類的構造函數沒被調用，如果你想調用基類的構造函數，你必須要在派生類的構造函數中用parent::__construct()調用。可以這樣做是在派生類中所有父類的方法都是可用的。 classAnotherextendsSomething{publicfunction__construct(){parent::__construct(5,6);//顯示調用基類構造函數}}OOP的一個很好的機制是使用抽象類。抽象類是不能實例化，只能提供給派生類一個介面。設計者通常使用抽象類來強迫程序員從基類派生，這樣可以確保新的類包含一些期待的功能。在PHP中沒有標準的方法，但是：如果你需要這個特性，可以通過定義基類，並在它的構造函數後加上die 的調用，這樣就可以保證基類是不可實例化的，在每一個方法（介面）後面加上die 語句，所以，如果一個程序員在派生類中沒有覆蓋方法，將引發一個錯誤。而且因為PHP 是無類型的，你可能需要確認一個對象是來自於你的基類的派生類，那麼在基類中增加一個方法來實義類的身份（返回某種標識id），並且在你接收到一個對象參數時校驗這個值。當然，如果一個不好的邪惡程序員在派生類中覆蓋了這個方法，這種方法就不起作用了，不過一般問題多在懶惰的程序員身上，而不是邪惡的程序員。
當然，能夠讓基類對程序員無法看到是很好的，只要將介面列印出來做他們的工作就可以了。PHP 5 引入了析構函數的概念，這類似於其它面向對象的語言，如 C++。析構函數會在到某個對象的所有引用都被刪除或者當對象被顯式銷毀時執行。
重載（與覆蓋不同）在PHP中不支持，因為PHP是弱類型語言。在OOP中，你可以重載一個方法來實現兩個或重多的方法具有相同的名字，但是有不同數量或類型的參數（這要看語言）。PHP 是一種鬆散類型的語言，所以通過類型重載不起作用，然而通過參數的個數不同來重載也不起作用。
有時在OOP中重載構造函數非常好，這樣你可以通過不同的方法創建對象（變數函數）。在PHP中實現它的技巧是： classMyclass{publicfunctionMyclass(){$name=Myclass.func_num_args();//這個函數返回的是傳過來參數的個數$this->$name();//這里使用的是一個變數函數，以這個變數的值作為函數的名稱調用}publicfunctionMyclass1($x){//code}publicfunctionMyclass2($x,$y){//code}}通過在類中的額外的處理，使用這個類對用戶是透明的： $obj1=newMyclass('1');//將調用Myclass1$obj2=newMyclass('1','2');//將調用Myclass2有時這個非常好用。
多態
多態是對象的一種能力，它可以在運行時刻根據傳遞的對象參數，決定調用哪一個對象的方法。例如，如果你有一個figure的類，它定義了一個draw的方法。並且派生了circle和rectangle 類，在派生類中你覆蓋了draw方法，你可能還有一個函數，它希望使用一個參數x，並且可以調用$x->draw（）。如果你有多態性，調用哪個draw方法就依賴於你傳遞給這個函數的對象類型。
多態性在象PHP這樣的解釋語言（想像一下一個C++編譯器生成這樣的代碼，你應該調用哪一個方法？你也不知道你擁有的對象是什麼類型的，好，這不是重點）是非常容易和自然的。所以PHP當然支持多態性。 classCalc{functionniceDrawing($x){//假設這是Board類的一個方法$x->draw();}}classCircle{publicfunctiondraw(){echo畫了一個圓;}}classRectangle{publicfunctiondraw(){echo畫了一個矩形;}}$board=newCalc;$obj=newCircle(3,187);$obj2=newRectangle(4,5);$board->niceDrawing($obj);//將調用Circle的draw方法$board->niceDrawing($obj2);//將調用Rectangle的draw方法用PHP進行面向對象編程
一些純化論者（purists)可能會說PHP不是一個真正的面向對象的語言，這是事實。PHP 是一個混合型語言，你可以使用OOP，也可以使用傳統的過程化編程。然而，對於大型項目，你可能想/需要在PHP 中使用純的OOP去聲明類，而且在你的項目只用對象和類。
隨著項目越來越大，使用OOP可能會有幫助，OOP代碼很容易維護，容易理解和重用。這些就是軟體工程的基礎。在基於web的項目中應用這些概念就成為將來網站成功的關鍵。
高級OOP技術
在看過基本的OOP概念後，我就可以向你展示更高級的技術：
序列化（Serializing)
PHP不支持永久對象，在OOP中永久對象是可以在多個應用的引用中保持狀態和功能的對象，這意味著擁有將對象保存到一個文件或資料庫中的能力，而且可以在以後裝入對象。這就是所謂的序列化機制。PHP 擁有序列化方法，它可以通過對象進行調用，序列化方法可以返回對象的字元串表示。然而，序列化只保存了對象的成員數據而不包括方法。
在PHP4中，如果你將對象序列化到字元串$s中，然後釋放對象，接著反序列化對象到$obj，你可以繼續使用對象的方法！我不建議這樣去做，因為（a）文檔中沒有保證這種行為在以後的版本中仍然可以使用。（b) 這個可能導致一種誤解，在你把一個序列化後的版本保存到磁碟並退出腳本時。當以後運行這個腳本時，你不能期待著在反序列化一個對象時，對象的方法也會在那裡，因為字元串表示根本就不包括方法。
總而言之，PHP 進行序列化對於保存對象的成員變數非常有用。（你也可以將相關數組和數組序列化到一個文件中）。
例子 : $obj=newClassfoo();$str=serialize($obj);//保存$str到磁碟上$obj2=unserialize($str);//幾個月以後//從磁碟中裝入str你恢復了成員數據，但是不包括方法（根據文檔所說）。這導致了只能通過類似於使用$obj2->x來存取成員變數（你沒有別的方法！）的唯一辦法，所以不要在家裡試它。
有一些辦法可以解決這個問題，我把它留著，因為對這篇簡潔的文章來說，他們太不好。我會很高興地歡迎在PHP的後續版本中有全序列化的特性。
使用類進行數據存儲PHP和OOP一件非常好的事情就是，你可以很容易地定義一個類來操作某件事情，並且無論何時你想用的時候都可以調用相應的類。假設你有一個HTML表單，用戶可以通過選擇產品ID號來選擇一個產品。在資料庫中有產品的信息，你想把產品顯示出來，顯示它的價格等等。你擁有不同類型的產品，並且同一個動作可能對不同的產品具有不同的意思。例如，顯示一個聲音可能意味著播放它，但是對於其它種類的產品可能意味著顯示一個存在資料庫中的圖片。你可以使用OOP或PHP來減少編碼並提高質量：
定義一個產品的類，定義它應該有的方法（例如：顯示），然後定義對每一種類型的產品的類，從產品類派後出來（SoundItem類，ViewableItem類，等等），覆蓋在產品類中的方法，使它們按你的想法動作。
根據資料庫中每一種產品的類型（type）欄位給類命名，一個典型的產品表可能有（id,type,price,description，等等欄位）...然後在處理腳本中，你可以從資料庫中取出type值，然後實例化一個名為type的對象： $obj=new$type();$obj->action();這是PHP的一個非常好的特性，你可以不用考慮對象的類型，調用$obj的顯示方法或其它的方法。使用這個技術，你不需要修改腳本去增加一個新類型的對象，只是增加一個處理它的類。
這個功能很強大，只要定義方法，而不去考慮所有對象的類型，在不同的類中按不同的方法實現它們，然後在主腳本中對任意對象使用它們，沒有if...else，也不需要兩個程序員，只有高興。
你同意編程是容易的，維護是便宜的，可重用是真的嗎？
如果你管理一組程序員，分配工作就是很簡單的了，每個人可能負責一個類型的對象和處理它的類。
可以通過這個技術實現國際化，根據用戶所選的語言欄位應用相應的類就可以了，等等。
拷貝和克隆
當你創建一個$obj的對象時，你可以通過$obj2=$obj來拷貝對象，新的對象是$obj的一個拷貝（不是一個引用），所以它具有$obj在當時的狀態。有時候，你不想這樣，你只是想生成一個象obj類一樣的一個新的對象，可以通過使用new語句來調用類的構造函數。在PHP中也可以通過序列化，和一個基類來實現，但所有的其它類都要從基類派生出來。
進入危險區域
當你序列化一個對象，你會得到某種格式的字元串，如果你感興趣，你可以調究它，其中，字元串中有類的名字（太好了！），你可以把它取出來，象： $herring=serialize($obj);$vec=explode(':',$herring);//以:為標識符把字元串拆分成一個數組$nam=str_replace(,'',$vec[2]);所以假設你創建了一個Universe的類，並且強制所有的類都必須從universe擴展，你可以在universe 中定義一個clone的方法，如下： classUniverse{//在新的PHP版本中克隆（__clone()）是一個魔術方法，不要和這個方法搞混了functionclone(){$herring=serialize($this);$vec=explode(':',$herring);$nam=str_replace(,'',$vec[2]);$ret=new$nam;return$ret;}}//然後$obj=newSomething();//從Universe擴展$other=$obj->clone();你所得到的是一個新的Something類的對象，它同使用new方法，調用構造函數創建出的對象一樣。我不知道這個對你是否有用，但是Universe類可以知道派生類的名字是一個好的經驗。想像是唯一的限制。
模板引擎 Smarty：Smarty的特點是將模板編譯成PHP腳本，然後執行這些腳本。很快，非常方便。 Heyes Template Class：一個非常容易使用，但功能強大並且快速的模板引擎，它幫助你把頁面布局和設計從代碼中分離。 FastTemplate：一個簡單的變數插值模板類，它分析你的模板，把變數的值從HTML代碼中分離處理。 ShellPage：一個簡單易用的類，可以讓你的整個網站布局基於模板文件，修改模板就能改變整個站點。 STP Simple Template Parser：一個簡單、輕量級並且易於使用的模板分析類。它可以從多個模板中組裝一個頁面，把結果頁面輸出到瀏覽器或者文件系統。 OO Template Class：一個你可以用在自己程序中的面向對象的模板類。 SimpleTemplate：一個可以創建和結構化網站的模板引擎。它可以解析和編譯模板。 bTemplate：短小但是快速的模板類，允許你把PHP邏輯代碼從HTML修飾代碼中分離。 Savant：一個強大且輕量級的PEAR兼容模板系統。它是非編譯型的，使用PHP語言本身做為它的模板語言。 ETS - easy template system：可以使用完全相同數據重組模板的模板系統。 EasyTemplatePHP：適用於你的站點的一個簡單但是強大的模板系統。 vlibTemplate：一個快速、全能的模板系統，它包含一個緩存和調試類。 AvanTemplate：多位元組安全的模板引擎，佔用很少系統資源。它支持變數替換，內容塊可以設置顯示或隱藏 Grafx Software』s Fast Template：一個修改版本的Fast Template系統，它包括緩存功能，調試控制台以及沉默去除為賦值塊。 TemplatePower：一個快速、簡單、功能強大的模板類。主要功能有嵌套的動態塊支持，塊/文件包含支持以及顯示/隱藏未賦值的變數。 TagTemplate：這個庫的功能被設計來使用模板文件，同時允許你從HTML文件檢索信息。 htmltmpl: templating engine：一個適用於Python和PHP的模板引擎。它面向希望在項目中分離代碼和設計的web應用開發人員。 PHP Class for Parsing Dreamweaver templates：一個分析Dreamweaver模板的簡單類，被用於Gallery 2 和WordPress的自定義模塊中。 MiniTemplator (Template Engine)：針對HTML文件的一個緊湊型模板引擎。對於模板變數和塊定義它具有簡單的語法。其中塊可以嵌套。 Layout Solution：簡化網站開發和維護。它擁有常用的變數和頁面元素使你不需要重復做頁面布局工作。 Cached Fast Template：它已經納入 FastTemplate ，允許你緩存模板文件，甚至可以在分離的塊內容上緩存不同的規格。 TinyButStrong：一個支持MySQL,Odbc,Sql-Server和ADODB的模板引擎。它包含7個方法和兩個屬性。 Brian Lozier』s php based template engine：只有2K大小，非常快並且是面向對象設計。 WACT：一個從設計中分離代碼的模板引擎。 PHPTAL：一個PHP下面的XML/XHTML模板庫。 Rong_View_Wudimei：Wudimei開發的國產框架Rong Framework的模板引擎，它類似於smarty，優點是速度快，缺點是模板標簽較少，不過夠用了。 框架介紹thinkphp
ThinkPHP是一個免費開源的，快速、簡單的面向對象的 輕量級PHP開發框架 ，創立於2006年初，遵循Apache2開源協議發布，是為了敏捷WEB應用開發和簡化企業應用開發而誕生的。ThinkPHP從誕生以來一直秉承簡潔實用的設計原則，在保持出色的性能和至簡的代碼的同時，也注重易用性。並且擁有眾多的原創功能和特性，在社區團隊的積極參與下，在易用性、擴展性和性能方面不斷優化和改進，已經成長為國內最領先和最具影響力的WEB應用開發框架，眾多的典型案例確保可以穩定用於商業以及門戶級的開發。
PHP認證級別
PHP課程由初級（IFE）、中級（IPE）和高級（IAE）三個部分。 IFE即Index Front-end Engineer的縮寫，指數前端工程師的意思。 IPE即 Index PHP Engineer 的縮寫，意思是指數PHP工程師。 IAE即 Index architecture/advanced engineer 的縮寫，意思是：指數高級/架構工程師。 PHP安全
PHP其實不過是Web伺服器的一個模塊功能，所以首先要保證Web伺服器的安全。當然Web伺服器要安全又必須是先保證系統安全，這樣就扯遠了，無窮無盡。常見的web安全漏洞有：注入攻擊，跨站攻擊，伺服器自身漏洞等，對應的詳細解釋，詳見：擴展閱讀中的《WEB安全性-2010_OWASP_TOP10》，這里有很詳盡的解釋。
PHP的優點學習過程和方法
PHP的語法類似於C，Perl，ASP或者JSP。對於那些對上述之一的語言較熟悉的人來說，PHP太簡單了。相反的，如果你對PHP了解較多，那麼你對於其他幾種語言的學習都很簡單了。你只需要很短的時間內將PHP的核心語言特點全部掌握，你可能已經非常了解HTML，甚至你已經知道怎樣用編輯設計軟體或者手工來製作好看的WEB站點。由於PHP代碼能夠無障礙的添加進你的站點，在你設計和維護站點的同時，你可以很輕松的加入PHP使得你的站點更加具有動態特性。
資料庫連接
PHP可以編譯成具有與許多資料庫相連接的函數。PHP與MySQL是絕佳的組合，如果再加上Apache伺服器，就是相當完美的了。你還可以自己編寫外圍的函數取間接存取資料庫。通過這樣的途徑當你更換使用的資料庫時，可以輕松的更改編碼以適應這樣的變化。PHPLIB就是最常用的可以提供一般事務需要的一系列基庫。
可擴展性
就像前面說的那樣，PHP已經進入了一個高速發展的時期。對於一個非程序員來說為PHP擴展附加功能可能會比較難，但是對於一個PHP程序員來說並不困難。
PHP可伸縮性
傳統上網頁的交互作用是通過CGI來實現的。CGI程序的伸縮性不很理想，因為它為每一個正在運行的CGI程序開一個獨立進程。解決方法就是將經常用來編寫CGI程序的語言的解釋器編譯進你的web伺服器（比如mod_perl,JSP）。PHP就可以以這種方式安裝，雖然很少有人願意這樣以CGI方式安裝它。內嵌的PHP可以具有更高的可伸縮性。
PHP免費安裝
PHP源代碼包安裝版：這個版本適合已經有自己獨立的網站域名、網站空間的專業網站建設用戶。使用方法依然其為簡單，只需三步：
第一、到官方網站：下載 PHP源代碼包安裝版最新版本，解壓下載文件，將其中的全部內容上傳到你的支持PHP的網站空間
第二、改更文件屬性，請將根目錄下以PHP為後綴名的文件和」/include/domain.php」和 「/attachments」 和 「/data」文件夾以及文件夾下所有的文件屬性改成「可讀」、「可寫」、「可執行」，通常是「755」。
第三、打開你的網站根目錄，系統會自動運行setup安裝程序，按提示點下一步操作即可。
友情提示：當你下載我們的軟體並看到這份說明時，則說明你一定是對企業網站建設有一定的需求或者你是一個網站建設技術學習者。
文件格式 對於只含有 php 代碼的文件，我們將在文件結尾處忽略掉 ?>。這是為了防止多餘的空格或者其它字元影響到代碼。 例如：
$foo = 'foo'; 縮進應該能夠反映出代碼的邏輯結果，盡量使用四個空格，禁止使用製表符TAB，因為這樣能夠保證有跨客戶端編程器軟體的靈活性。 例如： if(1==$x){$indented_code=1;if(1==$new_line){$more_indented_code=1;}}變數賦值建議保持相等間距和排列。 例如： $variable='demo';$var='demo2';每行代碼長度應控制在80個字元以內，最長不超過120個字元。因為 linux 讀入文件一般以80列為單位，就是說如果一行代碼超過80個字元，那麼系統將為此付出額外操作指令。這個雖然看起來是小問題，但是對於追求完美的程序員來說也是值得注意並遵守的規范。 每行結尾不允許有多餘的空格。 Php文件記事本編輯亂碼問題
一般情況下，記事本編輯器在對文件進行完編輯並保存之時，其默認編碼為ANSI，中文。然則更多的時候，php在語言環境設置時語言多數為utf-8，直接保存並用於apache等http-server解析後就會出現亂碼。
為此，應該注意在用記事本編輯完後可將文件用「另存為」的方式對文件進行保存，並將「文件類型」選擇「所有文件」，編碼與文件指定語言編碼一致即可。
算數運算符
PHP 的運算符包括算術運算符、賦值運算符、比較運算符和邏輯運算符。
算數運算符：
加，減，乘，除，取模(取余)+、-、*、/、%
賦值運算符：（以下解釋在許多書中有所不同）
賦值，加賦值，減賦值、乘賦值、除賦值，連字賦值
=、+=、-=、*=、/=、.=
位運算符：
位與、位或、位亦或、位非、左移、右移
&、|、^、~、<<、>>
比較運算符：
等於、全等於、不等於、不全等於、大於、小於、大於等於、小於等於
==、===、!=（<>）、!==、>、<、>=、<=
邏輯運算符：
邏輯與、邏輯或、邏輯非、邏輯亦或
&&、||、!、xor
字元串運算符：
. 連接兩個字元串

『叄』 php有什麼安全規則，有哪些

php安全篇值過濾用戶輸入的人參數
規則 1：絕不要信任外部數據或輸入
關於Web應用程序安全性，必須認識到的第一件事是不應該信任外部數據。外部數據(outside data) 包括不是由程序員在PHP代碼中直接輸入的任何數據。在採取措施確保安全之前，來自任何其他來源(比如 GET 變數、表單 POST、資料庫、配置文件、會話變數或 cookie)的任何數據都是不可信任的。
例如，下面的數據元素可以被認為是安全的，因為它們是在PHP中設置的。
復制代碼 代碼如下:
<?php
$myUsername = 'tmyer';
$arrayUsers = array('tmyer', 'tom', 'tommy');define(」GREETING」, 'hello there' . $myUsername);?>
但是，下面的數據元素都是有瑕疵的。
清單 2. 不安全、有瑕疵的代碼
復制代碼 代碼如下:
<?php
$myUsername = $_POST['username']; //tainted!
$arrayUsers = array($myUsername, 'tom', 'tommy'); //tainted!
define(」GREETING」, 'hello there' . $myUsername); //tainted!
?>
為 什麼第一個變數 $myUsername 是有瑕疵的？因為它直接來自表單 POST。用戶可以在這個輸入域中輸入任何字元串，包括用來清除文件或運行以前上傳的文件的惡意命令。您可能會問，「難道不能使用只接受字母 A-Z 的客戶端（Javascrīpt）表單檢驗腳本來避免這種危險嗎？」是的，這總是一個有好處的步驟，但是正如在後面會看到的，任何人都可以將任何錶單下載 到自己的機器上，修改它，然後重新提交他們需要的任何內容。
解決方案很簡單：必須對 $_POST['username'] 運行清理代碼。如果不這么做，那麼在使用 $myUsername 的任何其他時候（比如在數組或常量中），就可能污染這些對象。
對用戶輸入進行清理的一個簡單方法是，使用正則表達式來處理它。在這個示例中，只希望接受字母。將字元串限制為特定數量的字元，或者要求所有字母都是小寫的，這可能也是個好主意。
清單 3. 使用戶輸入變得安全
復制代碼 代碼如下:
<?php
$myUsername = cleanInput($_POST['username']); //clean!
$arrayUsers = array($myUsername, 'tom', 'tommy'); //clean!
define(」GREETING」, 'hello there' . $myUsername); //clean!
function cleanInput($input){
$clean = strtolower($input);
$clean = preg_replace(」/[^a-z]/」, 「」, $clean);$clean = substr($clean,0,12);
return $clean;
}
?>
規則 2：禁用那些使安全性難以實施的 PHP 設置已經知道了不能信任用戶輸入，還應該知道不應該信任機器上配置 PHP 的方式。例如，要確保禁用 register_globals。如果啟用了 register_globals，就可能做一些粗心的事情，比如使用 $variable 替換同名的 GET 或 POST 字元串。通過禁用這個設置，PHP 強迫您在正確的名稱空間中引用正確的變數。要使用來自表單 POST 的變數，應該引用 $_POST['variable']。這樣就不會將這個特定變數誤會成 cookie、會話或 GET 變數。
規則 3：如果不能理解它，就不能保護它
一些開發人員使用奇怪的語法，或者將語句組織得很緊湊，形成簡短但是含義模糊的代碼。這種方式可能效率高，但是如果您不理解代碼正在做什麼，那麼就無法決定如何保護它。
例如，您喜歡下面兩段代碼中的哪一段？
清單 4. 使代碼容易得到保護
復制代碼 代碼如下:
<?php
//obfuscated code
$input = (isset($_POST['username']) ? $_POST['username']:」);//unobfuscated code
$input = 」;
if (isset($_POST['username'])){
$input = $_POST['username'];
}else{
$input = 」;
}
?>
在第二個比較清晰的代碼段中，很容易看出 $input 是有瑕疵的，需要進行清理，然後才能安全地處理。
規則 4：「縱深防禦」 是新的法寶
本教程將用示例來說明如何保護在線表單，同時在處理表單的 PHP 代碼中採用必要的措施。同樣，即使使用 PHP regex 來確保 GET 變數完全是數字的，仍然可以採取措施確保 SQL 查詢使用轉義的用戶輸入。
縱深防禦不只是一種好思想，它可以確保您不會陷入嚴重的麻煩。
既然已經討論了基本規則，現在就來研究第一種威脅：SQL 注入攻擊。
防止 SQL 注入攻擊
在 SQL 注入攻擊 中，用戶通過操縱表單或 GET 查詢字元串，將信息添加到資料庫查詢中。例如，假設有一個簡單的登錄資料庫。這個資料庫中的每個記錄都有一個用戶名欄位和一個密碼欄位。構建一個登錄表單，讓用戶能夠登錄。
清單 5. 簡單的登錄表單
復制代碼 代碼如下:
<html>
<head>
<title>Login</title>
</head>
<body>
<form action=」verify.php」 method=」post」>
<p><label for='user'>Username</label>
<input type='text' name='user' id='user'/>
</p>
<p><label for='pw'>Password</label>
<input type='password' name='pw' id='pw'/>
</p>
<p><input type='submit' value='login'/></p>
</form>
</body>
</html>
這個表單接受用戶輸入的用戶名和密碼，並將用戶輸入提交給名為 verify.php 的文件。在這個文件中，PHP 處理來自登錄表單的數據，如下所示：
清單 6. 不安全的 PHP 表單處理代碼
復制代碼 代碼如下:
<?php
$okay = 0;
$username = $_POST['user'];
$pw = $_POST['pw'];
$sql = 「select count(*) as ctr from users where username='」.$username.」' and password='」. $pw.」' limit 1″;$result = mysql_query($sql);
while ($data = mysql_fetch_object($result)){if ($data->ctr == 1){
//they're okay to enter the application!
$okay = 1;
}
}
if ($okay){
$_SESSION['loginokay'] = true;
header(」index.php」);
}else{
header(」login.php」);
}
?>
這 段代碼看起來沒問題，對嗎？世界各地成百（甚至成千）的 PHP/MySQL 站點都在使用這樣的代碼。它錯在哪裡？好，記住 「不能信任用戶輸入」。這里沒有對來自用戶的任何信息進行轉義，因此使應用程序容易受到攻擊。具體來說，可能會出現任何類型的 SQL 注入攻擊。
例如，如果用戶輸入 foo 作為用戶名，輸入 ' or '1′='1 作為密碼，那麼實際上會將以下字元串傳遞給 PHP，然後將查詢傳遞給 MySQL：
復制代碼 代碼如下:
<?php
$sql = 「select count(*) as ctr from users where username='foo' and password=」 or '1′='1′ limit 1″;?>
這個查詢總是返回計數值 1，因此 PHP 會允許進行訪問。通過在密碼字元串的末章節附註入某些惡意 SQL，黑客就能裝扮成合法的用戶。
解 決這個問題的辦法是，將 PHP 的內置 mysql_real_escape_string() 函數用作任何用戶輸入的包裝器。這個函數對字元串中的字元進行轉義，使字元串不可能傳遞撇號等特殊字元並讓 MySQL 根據特殊字元進行操作。清單 7 展示了帶轉義處理的代碼。
清單 7. 安全的 PHP 表單處理代碼
復制代碼 代碼如下:
<?php
$okay = 0;
$username = $_POST['user'];
$pw = $_POST['pw'];
$sql = 「select count(*) as ctr from users where username='」.mysql_real_escape_string($username).」' and password='」. mysql_real_escape_string($pw).」' limit 1″;$result = mysql_query($sql);
while ($data = mysql_fetch_object($result)){if ($data->ctr == 1){
//they're okay to enter the application!
$okay = 1;
}
}
if ($okay){
$_SESSION['loginokay'] = true;
header(」index.php」);
}else{
header(」login.php」);
}
?>
使用 mysql_real_escape_string() 作為用戶輸入的包裝器，就可以避免用戶輸入中的任何惡意 SQL 注入。如果用戶嘗試通過 SQL 注入傳遞畸形的密碼，那麼會將以下查詢傳遞給資料庫：
select count(*) as ctr from users where username='foo' and password='\' or \'1\'=\'1′ limit 1″資料庫中沒有任何東西與這樣的密碼匹配。僅僅採用一個簡單的步驟，就堵住了 Web 應用程序中的一個大漏洞。這里得出的經驗是，總是應該對 SQL 查詢的用戶輸入進行轉義。
但是，還有幾個安全漏洞需要堵住。下一項是操縱 GET 變數。
防止用戶操縱 GET 變數
在前一節中，防止了用戶使用畸形的密碼進行登錄。如果您很聰明，應該應用您學到的方法，確保對 SQL 語句的所有用戶輸入進行轉義。
但 是，用戶現在已經安全地登錄了。用戶擁有有效的密碼，並不意味著他將按照規則行事 —— 他有很多機會能夠造成損害。例如，應用程序可能允許用戶查看特殊的內容。所有鏈接指向 template.php?pid=33 或 template.php?pid=321 這樣的位置。URL 中問號後面的部分稱為查詢字元串。因為查詢字元串直接放在 URL 中，所以也稱為 GET 查詢字元串。
在 PHP 中，如果禁用了 register_globals，那麼可以用 $_GET['pid'] 訪問這個字元串。在 template.php 頁面中，可能會執行與清單 8 相似的操作。
清單 8. 示例 template.php
復制代碼 代碼如下:
<?php
$pid = $_GET['pid'];
//we create an object of a fictional class Page$obj = new Page;
$content = $obj->fetchPage($pid);
//and now we have a bunch of PHP that displays the page?>
這 里有什麼錯嗎？首先，這里隱含地相信來自瀏覽器的 GET 變數 pid 是安全的。這會怎麼樣呢？大多數用戶沒那麼聰明，無法構造出語義攻擊。但是，如果他們注意到瀏覽器的 URL 位置域中的 pid=33，就可能開始搗亂。如果他們輸入另一個數字，那麼可能沒問題；但是如果輸入別的東西，比如輸入 SQL 命令或某個文件的名稱（比如 /etc/passwd），或者搞別的惡作劇，比如輸入長達 3,000 個字元的數值，那麼會發生什麼呢？
在這種情況下，要記住基本規則，不要信任用戶輸入。應用程序開發人員知道 template.php 接受的個人標識符（PID）應該是數字，所以可以使用 PHP 的 is_numeric()函數確保不接受非數字的 PID，如下所示：
清單 9. 使用 is_numeric() 來限制 GET 變數復制代碼 代碼如下:
<?php
$pid = $_GET['pid'];
if (is_numeric($pid)){
//we create an object of a fictional class Page$obj = new Page;
$content = $obj->fetchPage($pid);
//and now we have a bunch of PHP that displays the page}else{
//didn't pass the is_numeric() test, do something else!
}
?>
這個方法似乎是有效的，但是以下這些輸入都能夠輕松地通過 is_numeric() 的檢查：
100 （有效）
100.1 （不應該有小數位）
+0123.45e6 （科學計數法 —— 不好）
0xff33669f （十六進制 —— 危險！危險！）那麼，有安全意識的 PHP 開發人員應該怎麼做呢？多年的經驗表明，最好的做法是使用正則表達式來確保整個 GET 變數由數字組成，如下所示：
清單 10. 使用正則表達式限制 GET 變數
復制代碼 代碼如下:
<?php
$pid = $_GET['pid'];
if (strlen($pid)){
if (!ereg(」^[0-9]+$」,$pid)){
//do something appropriate, like maybe logging them out or sending them back to home page}
}else{
//empty $pid, so send them back to the home page}
//we create an object of a fictional class Page, which is now//moderately protected from evil user input$obj = new Page;
$content = $obj->fetchPage($pid);
//and now we have a bunch of PHP that displays the page?>
需 要做的只是使用 strlen() 檢查變數的長度是否非零；如果是，就使用一個全數字正則表達式來確保數據元素是有效的。如果 PID 包含字母、斜線、點號或任何與十六進制相似的內容，那麼這個常式捕獲它並將頁面從用戶活動中屏蔽。如果看一下 Page 類幕後的情況，就會看到有安全意識的 PHP 開發人員已經對用戶輸入 $pid 進行了轉義，從而保護了 fetchPage() 方法，如下所示：
清單 11. 對 fetchPage() 方法進行轉義
復制代碼 代碼如下:
<?php
class Page{
function fetchPage($pid){
$sql = 「select pid,title,desc,kw,content,status from page where pid='」.mysql_real_escape_string($pid).」'」;}
}
?>
您可能會問，「既然已經確保 PID 是數字，那麼為什麼還要進行轉義？」 因為不知道在多少不同的上下文和情況中會使用 fetchPage() 方法。必須在調用這個方法的所有地方進行保護，而方法中的轉義體現了縱深防禦的意義。
如 果用戶嘗試輸入非常長的數值，比如長達 1000 個字元，試圖發起緩沖區溢出攻擊，那麼會發生什麼呢？下一節更詳細地討論這個問題，但是目前可以添加另一個檢查，確保輸入的 PID 具有正確的長度。您知道資料庫的 pid 欄位的最大長度是 5 位，所以可以添加下面的檢查。
清單 12. 使用正則表達式和長度檢查來限制 GET 變數復制代碼 代碼如下:
<?php
$pid = $_GET['pid'];
if (strlen($pid)){
if (!ereg(」^[0-9]+$」,$pid) && strlen($pid) > 5){//do something appropriate, like maybe logging them out or sending them back to home page}
} else {
//empty $pid, so send them back to the home page}
//we create an object of a fictional class Page, which is now//even more protected from evil user input$obj = new Page;
$content = $obj->fetchPage($pid);
//and now we have a bunch of PHP that displays the page?>
現在，任何人都無法在資料庫應用程序中塞進一個 5,000 位的數值 —— 至少在涉及 GET 字元串的地方不會有這種情況。想像一下黑客在試圖突破您的應用程序而遭到挫折時咬牙切齒的樣子吧！而且因為關閉了錯誤報告，黑客更難進行偵察。
緩沖區溢出攻擊
緩沖區溢出攻擊 試圖使 PHP 應用程序中（或者更精確地說，在 Apache 或底層操作系統中）的內存分配緩沖區發生溢出。請記住，您可能是使用 PHP 這樣的高級語言來編寫 Web 應用程序，但是最終還是要調用 C（在 Apache 的情況下）。與大多數低級語言一樣，C 對於內存分配有嚴格的規則。
緩沖區溢出攻擊向緩沖區發送大量數據，使部分數據溢出到相鄰的內存緩沖區，從而破壞緩沖區或者重寫邏輯。這樣就能夠造成拒絕服務、破壞數據或者在遠程伺服器上執行惡意代碼。
防止緩沖區溢出攻擊的惟一方法是檢查所有用戶輸入的長度。例如，如果有一個表單元素要求輸入用戶的名字，那麼在這個域上添加值為 40 的 maxlength 屬性，並在後端使用 substr() 進行檢查。清單 13 給出表單和 PHP 代碼的簡短示例。

『肆』 用什麼工具檢測php網站是否存在注入漏洞

PHP的安全性現在是越來越好了PHP6。0版本都把存在的SQL漏洞都解決了
但是為了安全起見還是應該做安全檢測
檢測方法：SQL 注入法 、腳本代碼、參數傳遞等方法 具體情況參看PHP官方網站 安全篇章

『伍』 在電商網站開發中有哪些常見漏洞

一、常見PHP網站安全漏洞

對於PHP的漏洞，目前常見的漏洞有五種。分別是Session文件漏洞、SQL注入漏洞、腳本命令執行漏洞、全局變數漏洞和文件漏洞。這里分別對這些漏洞進行簡要的介紹。

1、session文件漏洞

Session攻擊是黑客最常用到的攻擊手段之一。當一個用戶訪問某一個網站時，為了免客戶每進人一個頁面都要輸人賬號和密碼，PHP設置了Session和Cookie用於方便用戶的使用和訪向。

2、SQL注入漏洞

在進行網站開發的時候，程序員由於對用戶輸人數據缺乏全面判斷或者過濾不嚴導致伺服器執行一些惡意信息，比如用戶信息查詢等。黑客可以根據惡意程序返回的結果獲取相應的信息。這就是月行胃的SQL注入漏洞。

3、腳本執行漏洞

腳本執行漏洞常見的原因是由於程序員在開發網站時對用戶提交的URL參數過濾較少引起的，用戶提交的URL可能包含惡意代碼導致跨站腳本攻擊。腳本執行漏洞在以前的PHP網站中經常存在，但是隨著PHP版本的升級，這些間題已經減少或者不存在了。

4、全局變數漏洞

PHP中的變數在使用的時候不像其他開發語言那樣需要事先聲明，PHP中的變數可以不經聲明就直接使用，使用的時候系統自動創建，而且也不需要對變 量類型進行說明，系統會自動根據上下文環境自動確定變數類型。這種方式可以大大減少程序員編程中出錯的概率，使用起來非常的方便。

5、文件漏洞

文件漏洞通常是由於網站開發者在進行網站設計時對外部提供的數據缺乏充分的過濾導致黑客利用其中的漏洞在Web進程上執行相應的命令。

二、PHP常見漏洞的防範措施

1、對於Session漏洞的防範

從前面的分析可以知道，Session攻擊最常見的就是會話劫持，也就是黑客通過各種攻擊手段獲取用戶的Session ID，然後利用被攻擊用戶的身份來登錄相應網站。為此，這里可以用以下幾種方法進行防範:一是定期更換Session ID，更換Session ID可以用PHP自帶函數來實現；二是更換Session名稱，通常情況下Session的默認名稱是PHPSESSID，這個變數一般是在cookie中保存的，如果更改了它的名稱，就可以阻檔黑客的部分攻擊;三是對透明化的Session ID進行關閉處理，所謂透明化也就是指在http請求沒有使用cookies來制定Session id時，Sessioin id使用鏈接來傳遞.關閉透明化Session ID可以通過操作PHP.ini文件來實現；四是通過URL傳遞隱藏參數，這樣可以確保即使黑客獲取了session數據，但是由於相關參數是隱藏的，它也很難獲得Session ID變數值。

2、對SQL注入漏洞的防範

黑客進行SQL注入手段很多，而且靈活多變，但是SQL注人的共同點就是利用輸入過濾漏洞。因此，要想從根本上防止SQL注入，根本解決措施就是加強對請求命令尤其是查詢請求命令的過濾。具體來說，包括以下幾點:一是把過濾性語句進行參數化處理，也就是通過參數化語句實現用戶信息的輸入而不是直接把用戶輸入嵌入到語句中。二是在網站開發的時候盡可能少用解釋性程序，黑客經常通過這種手段來執行非法命令；三是在網站開發時盡可能避免網站出現bug，否則黑客可能利用這些信息來攻擊網站；僅僅通過防禦SQL注入還是不夠的，另外還要經常使用專業的漏洞掃描工具對網站進行漏洞掃描。

3、對腳本執行漏洞的防範

黑客利用腳本執行漏洞進行攻擊的手段是多種多樣的，而且是靈活多變的，對此，必須要採用多種防範方法綜合的手段，才能有效防止黑客對腳本執行漏洞進行攻擊。這里常用的方法方法有以下四種。一是對可執行文件的路徑進行預先設定。

4、對全局變數漏洞防範

對於PHP全局變數的漏洞問題，以前的PHP版本存在這樣的問題，但是隨著PHP版本升級到5.5以後，可以通過對php.ini的設置來實現，設置ruquest_order為GPC。另外在php.ini配置文件中，可以通過對Magic_quotes_runtime進行布爾值設置是否對外部引人的數據中的溢出字元加反斜線。為了確保網站程序在伺服器的任何設置狀態下都能運行。

5、對文件漏洞的防範

對於PHP文件漏桐可以通過對伺服器進行設置和配置來達到防範目的。這里具體的操作如下:一是把PHP代碼中的錯誤提示關閉，這樣可以避免黑客通過錯誤提示獲取資料庫信息和網頁文件物理路徑;二是對open_basedir盡心設置，也就是對目錄外的文件操作進行禁止處理;這樣可以對本地文件或者遠程文件起到保護作用，防止它們被攻擊，這里還要注意防範Session文件和上載文件的攻擊;三是把safe-made設置為開啟狀態，從而對將要執行的命令進行規范，通過禁止文件上傳，可以有效的提高PHP網站的安全系數。

『陸』 PHP是什麼

PHP是PHP的遞歸首字母縮寫：Hypertext Preprocessor，一種用於創建動態和互動式HTML網頁的腳本語言。當網站訪問者打開頁面時，伺服器處理PHP命令，然後將結果發送到訪問者的瀏覽器。

主要特點

①開源性和免費性

由於PHP的解釋器的源代碼是公開的，所以安全系數較高的網站可以自己更改PHP的解釋程序。另外，PHP運行環境的使用也是免費的。

②快捷性

PHP是一種非常容易學習和使用的一門語言，它的語法特點類似於C語言，但又沒有C語言復雜的地址操作，而且又加入了面向對象的概念，再加上它具有簡潔的語法規則，使得它操作編輯非常簡單，實用性很強。

③資料庫連接的廣泛性

PHP可以與很多主流的資料庫建立起連接，如MySQL、ODBC、Oracle等，PHP是利用編譯的不同函數與這些資料庫建立起連接的，PHPLIB就是常用的為一般事務提供的基庫。

④面向過程和面向對象並用

在PHP語言的使用中，可以分別使用面向過程和面向對象，而且可以將PHP面向過程和面向對象兩者一起混用，這是其它很多編程語言是做不到的。

(6)php漏洞全解擴展閱讀

PHP優點

①流行，容易上手

PHP是目前最流行的編程語言，這毋庸置疑。它驅動全球超過2億多個網站，有全球超過81.7%的公共網站在伺服器端採用PHP。PHP常用的數據結構都內置了，使用起來方便簡單，也一點都不復雜，表達能力相當靈活。

②開發職位很多

在伺服器端的網站編程中PHP會更容易幫助你找到工作。很多互聯網相關企業都在使用PHP開發框架，所以可以說市場對PHP的開發程序員的需求還是比較大的。

③仍然在不斷發展

PHP在不斷兼容著類似closures和命名空間等技術，同時兼顧性能和當下流行的框架。版本是7之後，一直在提供更高性能的應用。

④可植入性強

PHP語言在補丁漏洞升級過程中，核心部分植入簡單易行，且速度快。

⑤拓展性強

PHP語言在資料庫應用過程中，可以從資料庫調取各類數據，執行效率高

『柒』 命令執行漏洞

命令執行漏洞的成因：

腳本語言(如PHP )優點是簡潔、方便,但也伴隨著一些問題,如速度慢、無法接觸系統底層,如果我們開發的應用(特別是企業級的一些應用)需要-些除去web的特殊功能時,就需要調用一些外部程序。當應用需要調用一些外部程序去處理內容的情況下, 就會用到些執行系統命令桐漏的函數。如PHP中褲岩的system、exec. shell exec等,當用戶可以控制命令執行函數中的參數時,將可以注入惡局純爛意系統命令到正常命令中,造成命令執行攻擊。

PHP中調用外部程序的主要有以下函數：

system

exec

shell_exec

passthru

popen

proc_popen

全局搜索這些函數，觀察是否可以控制。

命令執行漏洞的防禦：

可控點為待執行的程序

<?php

$arg = $_GET[『cmd』];

if($arg){

system(「$arg」);

}

?>

[if !supportLists]l [endif]/?cmd=id

[if !supportLists]l [endif]/?cmd=pwd

[if !supportLists]l [endif]/?cmd=ifconfig

可控點是傳入程序的整個參數（無引號包裹）

<?php

$arg = $_GET[『cmd』];

if($arg){

system(「ping -c 3 $arg」);

}

?>

我們能夠控制的點是程序的整個參數，我們可以直接用&&或|等等，利用與、或、管道命令來執行其他命令。

/?cmd=127.0.0.1| ifconfig

可控點是某個參數的值（有雙引號包裹）

<?php

$arg = $_GET[『cmd』];

if($arg){

system(「ls -al \」$arg\」」);

}

?>

閉合雙引號。

/?cmd=/home」 | ifconfig;」

可控點是某個參數的值（有單引號包裹）

<?php

$arg = $_GET[『cmd』];

if($arg){

system(「ls -al  『$arg』 」);

}

?>

在單引號內的話，只是一個字元串，因此想要執行命令必須閉合單引號。

/cmd?=/home』 |ifconfig』

命令執行漏洞的防禦：

1、能使用腳本解決的工作,不要調用其他程序處理。盡量少用執行命令的函數,並在disable functions中禁用之。

2、對於可控點是程序參數的情況，使用escapeshellcmd函數進行過濾。

3、對於可控點是程序參數的值的情況，使用escapeshellarg函數進行過濾。

4、參數的值盡量使用引號包裹,並在拼接前調用addslashes進行轉義。

『捌』 什麼是PHP

PHP是超文本預處理器，是一種通用開源腳本語言。

PHP獨特的語法混合了C、Java、Perl以及 PHP 自創的語法。利於學習，使用廣泛，主要適用於Web開發領域。

優點：

1、流行，容易上手

PHP是目前最流行的編程語言，這毋庸置疑。它驅動全球超過2億多個網站，有全球超過81.7%的公共網站在伺服器端採用PHP。PHP常用的數據結構都內置了，使用起來方便簡單，也一點都不復雜，表達能力相當靈活。

2、開發職位很多

在伺服器端的網站編程中PHP會更容易幫助你找到工作。很多互聯網相關企業都在使用PHP開發框架，所以可以說市場對PHP的開發程序員的需求還是比較大的。

3、仍然在不斷發展

PHP在不斷兼容著類似closures和命名空間等技術，同時兼顧性能和當下流行的框架。版本是7之後，一直在提供更高性能的應用。

4、可植入性強

PHP 語言在補丁漏洞升級過程中，核心部分植入簡單易行，且速度快。

5、拓展性強

PHP 語言在資料庫應用過程中，可以從資料庫調取各類數據，執行效率高。

(8)php漏洞全解擴展閱讀：

缺點

1、PHP的解釋運行機制

在 PHP 中，所有的變數都是頁面級的，無論是全局變數， 還是類的靜態成員，都會在頁面執行完畢後被清空。

2、設計缺陷

缺少關注PHP被稱作是不透明的語言，因為沒有堆棧追蹤，各種脆弱的輸入。沒有一個明確的設計哲學。早期的PHP受到Perl的影響，帶有out參數的標准庫又是有C語言引入，面向對象的部分又是從C++和Java學來的。

3、對遞歸的不良支持

PHP並不擅長遞歸。它能容忍的遞歸函數的數量限制和其他語言比起來明顯少。