-
如何get到值為 雙引號查看全部
-
xss:非法javascript, 使用lexer過濾; csrf: 盜用身份偽造非法請求，使用token; sql注入： 構造非法sql, 使用PDO及占位符； 文件上傳： 上傳非法文件并執行，嚴格過濾及重命名等查看全部
-
上傳文件數據時，請求數據可以在出發前被攔截并篡改 content-type可被修改， 文件名中加入:,可以通過后綴名驗證， 并使move_uploaded_file執行時丟棄：之后的部分，使上傳文件變成可執行的php 若上傳文件沒被重命名或重命名后的名字被發現，則可使文件可被任意執行 處理方式：嚴格檢查文件，禁止出現":", 重命名文件，禁止目錄列出文件，取消上傳目錄文件的執行權限查看全部
-
文件上傳漏洞 如果后臺對文件上傳審查不嚴，導致php代碼上傳后被執行，可進行遍歷文件等操作使源碼泄露查看全部
-
使用wireshark 對數據庫連接抓包查看全部
-
使用PDO統一數據庫接口，可以無痛切換； 使用占位符防范SQL注入查看全部
-
實際的ASCII碼，在utf-8和gbk下的解碼查看全部
-
繞過轉義： char(0xdf)/',在utf-8下會變成β/', 而在gbk下由于漢字是2個字節組成；在數據中將變成 運',單引號逃過了被轉義查看全部
-
Sql注入：將要執行的sql語句采用拼接的方式組裝時，就sql注入的可能； 原本要查詢的字符串在拼接后發生發“越獄”，部分字符串被數據庫識別成可執行語句， 導致意外的操作和查詢結果 防范：1，屏蔽關鍵字和敏感詞，有影響業務邏輯的可能； 2， 對傳入變量轉義，避免變量的內容越獄查看全部
-
web表單提交數據會引發yii的csrf驗證， 所提交的表單需要帶上 hidden value: _csrf; 可以由\Yii::$app->request->csrfToken 獲得查看全部
-
防范csrf： 1，驗證碼：比較有效，降低用戶體驗； 2，referer頭，需要考慮正常訪問沒有referer頭的情況； 3，token, 響應請求時返回的防偽標志查看全部
-
在用戶已經登陸的情況下，偽造表單，生成鏈接并誘使用戶進行點擊，從而盜用用戶身份進行操作（發貼，評論，轉賬等）查看全部
-
get型的crtf攻擊 構造url, 誘使用戶點擊查看全部
-
// yii過濾javascript // 去防護 \Yii::$app->response->headers->add('X-XSS-Protection', '0'); $js = \Yii::$app->request->get('js'); echo \Yii\helpers\HtmlPurifier::process($js);查看全部
-
yii2防范xss: Html::encode($str); 其源碼為返回httpspecialchar($str)轉碼之后的值查看全部
舉報
0/150
提交
取消