查询条件通过url获取，但是该表单选项有js代码，如果不使用encode处理的话，会将后面的js代码显示在页面上，出现漏洞。所以需要转移一下。
原创
2013-05-19 21:51:57
320阅读
fastcgi防止跨站、跨目录的安全设置
转载
2018-04-04 14:30:14
1386阅读
点赞
说明：站点一：bbs.osyunwei.com 程序目录：/data/wwwroot/bbs.osyunwei.com如下图所示：站点二：sns.osyunwei.com 程序目录：/data/wwwroot/sns.osyunwei.com如下图所示：php.ini配置文件路径：/etc/php.ini php版本：php 5.3.16（此方法只针对php 5.3.0及其以上版本有效）问题：在站
转载
精选
2013-04-16 18:25:34
791阅读
于是就上百度谷歌了半天，一开始就找到了一个php.ini中的open_basedir参数，设置这个参数即可限定php脚本的访问范围。我们针对每个站点，需要php能够访问该站点所在目录以及/tmp/临时目录。SO..看到有人这么写open_basedir=.:/tmp/ 冒号的作用是隔开多个路径，这里面根据字面理解，第一个点就代表当前目录。看起来是很完美了，OK，保存配置，重启php-f
转载
精选
2014-03-01 11:12:37
1707阅读
这篇文章主要介绍了PHP实现的防止跨站和xss攻击代码,是一款来自阿里云的防注入脚本,可实现针对注入、XSS攻击等的过滤功能,需要的朋友可以参考下本文实例讲述了PHP实现的防止跨站和xss攻击代码。分享给大家供大家参考，具体如下：文档说明：1.将waf.php传到要包含的文件的目录2.在页面中加入防护，有两种做法，根据情况二选一即可：a).在所需要防护的页面加入代码require_once(‘waf.php’);就可以做到页面防注入、跨站如果想整站防注，就在网站的一个公用文件中，如数据库链接
原创
2021-05-19 22:17:11
188阅读
open_basedir的正确格式：php_admin_value[open_basedir]=/data/www/:/tmp/这种方式不需要重启nginx或php-fpm服务。安全起见应当取消掉.user.ini文件的写权限。关于.user.ini文件的详细说明：http://php.net/manual/zh/configuration.file.per-user.php设置open_base
原创
2015-06-01 18:43:01
1234阅读
点赞
2评论
方法1）在Nginx配置文件中加入fastcgi_param PHP_VALUE "open_basedir=$document_root:/tmp/:/pro
转载
2023-03-05 16:40:27
301阅读
关联：征服 Ajax 应用程序的安全威胁AJAX 跨域请求 - JSONP获取JSON数据 跨站脚本在媒体的帮助下，跨站脚本（XSS）成为了大家关注的焦点，当然它是绝对应当关注的。XSS 是 web 应用中最常见的安全隐患，许多流行的开放源代码的 PHP 应用程序受到 XSS 隐患
原创
2023-05-11 14:32:15
90阅读
<?php session_start(); //生成随机字符串 function randomStr($max = 16){ $str = 'abcdefghijklmnopqrstuvwxyz'. '0123456789'. 'ABCDEFJHIJKLMNOPQRSTUVWXYZ'; $val
转载
2020-09-29 17:51:00
57阅读
2评论
在html模板中添加{%csrf_token%}防止跨站***
原创
2018-12-16 00:21:41
774阅读
XSS（跨站脚本）可以用于窃取其他用户的Cookie信息，要避免此类问题，可以采用如下解决方案： 直接过滤所有的JavaScript脚本； 转义Html元字符，使用htmlentities、htmlspecialchars等函数； 系统的扩展函数库提供了XSS安全过滤的remove_xss方法；
转载
2019-11-12 16:12:00
408阅读
2评论
在以前的防止跨站攻击的时候，使用了验证提交的页面是否是同一个站点，这样可以防止普通的攻击，ereg("blog.qita.in",$_SERVER['HTTP_REFERER'])不过也不是很安全的,因为攻击者可以伪造HTTP Referer，
原创
2021-07-27 10:02:32
224阅读
跨站请求伪造（CSRF）漏洞简介CSRF（Cross-site request forgery）跨站请求伪造攻击者通过伪造用户的浏览器的请求，向访问一个用户自己曾经认证访问过的网站发送出去，使目标网站接收并误以为是用户的真实操作而去执行命令。常用于盗取账号、转账、发送虚假消息等。攻击者利用网站对请求的验证漏洞而实现这样的攻击行为，网站能够确认请求来源于用户的浏览器，却不能验证请求是否源于用户的真实
新建一个类safe_360.cs using System; using System.Collections.Generic; using System.Text.RegularExpressions; using System.Web; /// <summary> /// safe_360 的摘
原创
2022-07-07 11:17:02
152阅读
一台服务器很少只给一个网站使用，站点多了，管理员有勤堕之分，技术水平也不一样。所以必要的还是做些安全设置。记录一下，以后能用的上。
第一步是到/usr/local/php/sbin/目录 打开php-fpm文件，找到
case "$1" in
start)
echo -n "Starting php_fpm &quo
原创
2012-12-10 21:35:02
691阅读
点赞
当存心不良的Web站点导致用户的浏览器在可信的站点上进行非意愿的活动时，我们就说发生了跨站请求伪造(CSRF)攻击。这些攻击被誉为基于Web的漏洞中的“沉睡的巨人”，因为互联网上的许多站点对此毫无防备，同时还因为这类攻击一直为web开发和安全社区所忽视。一、概述 当存心不良的Web站点导致用户的浏览器在可信的站点上进行非意愿的活动时，我们就说发生了跨站请求伪造(CSRF)攻击。跨站请求伪造攻击亦
产生跨域请求问题的原因 因为在浏览器中有一个同源策略，这是浏览器最基本的安全功能，但是在服务器中不限制。 同源就是指：协议，域名，端口号都相同，任意一个不满足，就触发了同源策略，我们把触发了同源策略的请求叫做跨域请求1：CORS（Cross-Origin ResourceSharing） CORS是跨域资源共享，定义了必须在访问跨域资源时，浏览器与服务器应该如何沟通。 CORS的基本思想就是使用自
转载
2024-10-13 16:59:48
154阅读
一台服务器很少只给一个网站使用，站点多了，管理员有勤堕之分，技术水平也不一样。所以必要的还是做些安全设置。记录一下，以后能用的上。第一步是到/usr/local/php/sbin/目录 打开php-fpm文件，找到case "$1" in
start)
echo -n "Starting php_fpm "
$php_fpm_BIN&nb
原创
2014-05-15 15:04:46
1621阅读
CSRF（跨站请求伪造）介绍：CSRF，全称Cross-site request forgery，翻译过来就是跨站请求伪造，是指利用受害者尚未失效的身份认证信息（cookie、会话等），诱骗其点击恶意链接或者访问包含攻击代码的页面，在受害人不知情的情况下以受害者的身份向（身份认证信息所对应的）服务器发送请求，从而完成非法操作（如转账、改密等）。low<?php
if( isset( $_G
转载
2024-07-22 19:44:41
98阅读
对于CSRF，可能一些朋友比较陌生。我们下面先简单介绍下。什么是CSRF呢，我们看下Wikipedia的说明：Cross-site request forgery，即跨站请求伪造，也称为 "One Click Attach" 或者"Session Riding"，常缩写成CSRF。是通过伪装来自受信任用户的请求来利用受信任的网站。其中，说起CSRF，经常会举的一个例子，是这样的：用户A在访问网上银
原创
2021-05-14 21:58:42
1331阅读
