提交参数没过滤或是过滤不够严谨.黑客防线向来有攻有守.这里,就大致讲一下防范的方法吧.首先,我个人认为最重要的一点是将magic_quotes_gpc高为ON,它的作用是将单引号,双引号,反斜线,和空字符转换为含有反斜线的字符,如 select * from admin where username="$username" and password="$password"语句,攻击者想用1" or 1="1跳过验证,但是,那些字符串将被转换成这样:select * from admin where username="a" and password="1" or 1="1"从而达到阻止注入的目的,事实也就是自动进行了addslashes（）操作.再不行的话,自己定义函数处理吧.现在看来,那些搞PHP注入的人也比较郁闷,因为myslq4以下版本不支持子语句,而新版本的mysql又会将magic_quotes_gpc选项默认为开.解决包含文件漏洞用的方法就是:要求程序员包含文件里的参数尽量不要使用变量，如果使用变量，就一定要严格检查要包含的文件名，绝对不能由用户任意指定,建议设global_variables为off。如前面文件打开中限制PHP操作路径是一个必要的选项。另外，如非特殊需要，一定要关闭PHP的远程文件打开功能。修改php.ini文件：allow_url_fopen = Off（注:参见）.还有一点我觉得很多网站都会有这个问题,就是没有关错误显示.轻一看可能没什么,但是一些盯了很久（用词有点不对哦）的人就可以通过错误提示来获得如数据库信息,网页文件物理路径等等.木马“QQ通行证变种YVR”盗取用户QQ账号密码灰鸽子变种开启后门让黑客可远程控制你的电脑相关资讯 PHP
易网时代-编程资源站