PHP安全编程之php.ini配置
浏览数：118 /
时间：2015年06月09日
1.register_globals=On
<?php//ex1.php
if(check_admin())
{
$is_admin=true;
}
if($is_admin)
{
do_something();
}
?>
这一段代码没有将$is_admin事先初始化为Flase，如果register_globals为On，那么我们直接提交http://www.sectop.com/ex1.php?is_admin=true,就可以绕过check_admin()的验证
当register_globals=On时，我们提交http://www.sectop.com/ex2.php?_SESSION[username]=admin
2.magic_quotes
用来让php程序的输入信息自动转义，所有的单引号(“‘”)，双引号(“"”)，反斜杠(“\”)和空字符(NULL)，都自动被加上反斜杠进行转义magic_quotes_gpc=On用来设置magicquotes为On，它会影响HTTP请求的数据(GET、POST、Cookies)程序员也可以使用addslashes来转义提交的HTTP 请求数据，或者用stripslashes 来删除转义。
magic_quotes_gpc = On
对post、get请求、cookie的参数加转义
addslashes($name) 函数添加的反斜杠,stripslashes($name)删除反斜杠
http://www.test.com/index.php?is_admin=true&name="\sas"
得到$name = ‘\"\\sas\"‘;
$name = stripslashes($name); $name = ‘"\sas"‘;
3.safe_mode
安全模式，PHP用来限制文档的存取、限制环境变量的存取，控制外部程序的执行。启用
安全模式必须设置php.ini中的safe_mode=On
a、限制文件存取
safe_mode_include_dir="/path1:/path2:/path3"
不同的文件夹用冒号隔开
b、限制环境变量的存取
safe_mode_allowed_env_vars=string
指定PHP程序可以改变的环境变量的前缀，如:safe_mode_allowed_env_vars=PHP_ ,当这个选项的值为空时，那么php可以改变任何环境变量
safe_mode_protected_env_vars=string用来指定php程序不可改变的环境变量的前缀。
c、限制外部程序的执行
safe_mode_exec_dir=string
此选项指定的文件夹路径影响system、exec、popen、passthru，不影响shell_exec和“``”。
disable_functions=string
不同的函数名称用逗号隔开，此选项不受安全模式影响。
郑重声明：本站内容如果来自互联网及其他传播媒体，其版权均属原媒体及文章作者所有。转载目的在于传递更多信息及用于网络分享，并不代表本站赞同其观点和对其真实性负责，也不构成任何其他建议。
