如果启用了allow_url_fopen，file_get_contents()返回空字符串 - 腾讯云开发者社区 - 腾讯云

开发者社区

文档建议反馈控制台

文章/答案/技术大牛

发布

记录file_get_contents返回空字符串的问题

群里一位大佬上午说了一句箴言：「世界上没有什么故障是重启解决不了的，如果有，再重启一次。」...，结果下午群里就有一位朋友遇到了一个诡异的老版本 PHP 问题：当使用 file_get_contents 抓取网页内容的时候，总是返回空字符串，奇怪的是换用 curl 扩展后又一切正常。...首先值得怀疑的是 allow_url_fopen 配置。如果没有开启它的话， file_get_contents 是不能访问远程地址的。（排除！）...然后尝试着用 strace、ltrace 跟踪了一下代码，发现目标服务器已经接收到了请求，并且成功返回了数据，可是 file_get_contents 就是返回空。问题到了这里似乎没招儿了。...记得小学写作文的时候，老师教我们要首尾呼应，那好吧，请允许我调皮一下：「世界上没有什么故障是重启解决不了的，如果有，再重启一次。」

9943 0

XXE攻击与防御

XXE XXE是一种很常见的漏洞类型危害也挺大的，如果一个web服务器通过用户上传处理XML文件或POST请求时，那么可能就会存在漏洞。...() 函数把整个文件读入一个字符串中。...函数将xml 格式字符串转换为对应的simpleXMLElementObject php中的simplexml_load_string函数将xml格式字符串转换为对应的SimpleXMLElement xxe注入的思路 file_get_contents(“php://input...,当返回dtd这个定义文件后就会在本服务器查询对应的数据，在返回给我们的server端服务器可以随便选择，这里我用的是kali，对于不了解Linux的同学，博主将给你们带来亲妈级别的教学 kali服务器准备工作

2.1K4 0

您找到你想要的搜索结果了吗？

是的

没有找到

fsockopencurlfile_get_contents效率比较

file_get_contents 需要php.ini里开启allow_url_fopen，请求http时，使用的是http_fopen_wrapper，不会keeplive的话curl是可以的。...file_get_contents()单个执行效率高，返回没有头的信息。这个是读取一般文件的时候并没有什么问题，但是在读取远程问题的时候有可能就会出现问题。...如果是要打一个持续连接，多次请求多个页面。那么file_get_contents和fopen就会出问题。取得的内容也可能会不对。所以做一些类似采集工作的时候，肯定就有问题了。...返回完整信息。总之，file_get_contents 和 curl 能干的，socket都能干。socket能干的，curl 就不一定能干了。...fopen / file_get_contents函数会受到php.ini文件中allow_url_open选项配置的影响。如果该配置关闭了，则该函数也就失效了。而curl不受该配置的影响。

6822 0

文件包含漏洞原理利用方式及修复

> 如上述例子在引用filename函数时,没有过滤，直接引用了这个函数文件包含分类: 本地包含:可以进行一些本地的文件读取远程包含:可以对外网上的文件进行读取实战: 留意url，这里我想包含当前目录的.../返回上级目录,就比如我相关读取D盘下的2.txt ?...> 远程文件包含: PHP的配置文件allow_url_fopen和allow_url_include设置为ON，include/require等包含函数可以加载远程文件，如果远程文件没经过严格的过滤...如果POST的数据是执行写入一句话木马的PHP代码，就会在当前目录下写入一个木马。 ? ?...php://input(读取post数据) 碰到file_get_contents()就要想到用php://input绕过，因为php伪协议也是可以利用http协议的，即可以使用POST方式传数据，具体函数意义下一项

4.5K2 0

php项目优化

"open_basedir=$document_root:/tmp/:/proc/"; 通常nginx的站点配置文件里用了include fastcgi.conf;，这样的，把这行加在fastcgi.conf...木马等文件根本无法执行例如：www.xx.com的静态文件地址为内网的nfs服务器，但是nfs服务器只做存储，并没有安装php，那样上传后也执行不了木马六.禁用cul allow_url_fopen...内容 $data = file_get_contents("http://www.baidu.com/")；以下方法可以获取本地文件内容$data = file_get_contents("1.txt..."); 如果你的站点访问量不大、数据库也运行良好，但是web服务器负载出奇的高，请你直接检查下是否有这个方法。...目前生产环境已全线禁用，如果php工程师需要获取远程web的内容，建议他们使用curl。

1.9K2 0

php面试笔记（7）-php基础知识-文件及目录处理考点

） "x" （创建一个新的文件并以写入方式打开，如果文件已存在则返回 FALSE 和一个错误） "x+" （创建一个新的文件并以读写方式打开，如果文件已存在则返回 FALSE 和一个错误） "b" (以二进制的方式打开...不需要fopen()打开的函数： file_get_contents(path) file_get_contents() 把整个文件读入一个字符串中。...5访问远程文件：在PHP.ini中将allow_url_fopen设置为On。HTTP协议连接只能使用只读，FTP协议可以使用只读、只写。...如果成功，该函数返回从文件中读入的字节数。如果失败，该函数返回 FALSE 并附带错误信息。您可以通过在函数名前面添加一个 '@' 来隐藏错误输出。...3目录删除 rmdir(dir) rmdir() 函数删除空的目录。 4目录创建 mkdir(path) mkdir() 函数创建目录。

9382 1

PHP伪协议

和allow_url_include会影响到fopen等等和include等等函数对于伪协议的支持，而allow_url_include依赖allow_url_fopen，所以allow_url_fopen...这对于一体式（all-in-one）的文件函数非常有用，类似 readfile()、 file() 和 file_get_contents()，在数据流内容读取之前没有机会应用其他过滤器。...如果给出了line-length，base64 输出将被用 line-length个字符为长度而截成块。如果给出了line-break-chars，每块将被用给出的字符隔开。...关于quoted_printable_decode()在php.net上的解释是将 quoted-printable 字符串转换为 8-bit 字符串，原谅我没怎么看懂字符串过滤器 string...strip_tags()返回给定的字符串 str 去除空字符、HTML 和 PHP 标记后的结果。

2.7K8 0

PseudoProtocols解题思路

也可以直接将我们新得到的这个php文件放在wllm=的后面图片我们得到一段代码，我们分析一下这段代码首先是包含了一个flag.php文件，然后我们要以get形式传入一个a参数，然后我们看到下面的if语句，file_get_contents...是把整一个文件读入到一个字符串中，也就是说我们的a是只读的，而且a的内容要和I want flag一样，这样因该就可以得到flag了然后是file_get_contents这个函数，我们看到这个函数，然后题目也是文件包含的题目...SSB3YW50IGZsYWc=（这里是你需要更的base64的编码，我这里随便举得例子）上面两种是比较常用的，我们也可以是将data:后面的两个斜线去掉也是ok的，而且还有就是data://协议我们需要allow_url_fopen...图片图片然后我们就可以得到我们的flag了以上如果那一个地方出现了问题的话，请及时提出，我也会尽快更改，本人刚学习网络安全不久，可能文中有部分东西表达的不清楚，大佬勿喷

9276 0

一文了解PHP的各类漏洞和绕过姿势

int strcmp ( string $str1 , string $str2 ) 如果 str1 小于 str2 返回 < 0 如果 str1 大于 str2 返回 > 0 如果两者相等，返回 0...问题在PHP版本为5.3.3至5.5中（不包含5.5），当比较数组和字符串的时候，返回值也是0 例子字符串也不会报错而是返回0 于是有 6、sha1() 和md5()加密函数都用于计算字符串的散列值但是两者都无法处理数组，不会抛出异常而是直接返回NULL 例子 10、ereg()和eregi() 用于正则匹配，两者的区别在于是否区分大小写使用指定的模式搜索一个字符串中指定的字符串，如果匹配成功则返回true，否则返回false 该函数可被%00截断来Bypass

6.3K7 2

PHP 文件包含漏洞姿势总结

如果开启了我们就有可能包含远程文件。...1、%00 截断能利用 00 截断的场景现在应该很少了 PHP 内核是由 C 语言实现的，因此使用了 C 语言中的一些字符串处理函数。在连接字符串时，0 字节 (\x00) 将作为字符串的结束符。...php:// 是类似的，都是利用了 PHP 中的流的概念，将原本的 include 的文件流重定向到了用户可控制的输入流中 ?...== false) { return file_get_contents($img); } else {...header('Content-Type: text/html'); return file_get_contents($img); }}?

4.7K2 2

fsockopen函数被禁用的解决方案

修改php.ini，将 disable_functions = 后加入 fsockopen 修改php.ini，将 allow_url_fopen = On 改为 allow_url_fopen = Off...fsockopen函数被禁用的解决方案如果服务器没有同时禁用pfsockopen，那么直接将fsockopen函数替换为pfsockopen。...： $fp = pfsockopen($host, 80, $errno, $errstr, 30); 如果服务器同时禁用了pfsockopen，那么用其他函数代替，如stream_socket_client...具体操作：搜索程序中的字符串 fsockopen 替换为 stream_socket_client，然后，将原fsockopen函数中的端口参数“80”删掉，并加到$host。...fsockopen 替换为 b_fsockopen 因为fsockopen函数返回文件指针所以可以被文件函数操作，但是这个b_fsockopen函数没能返回文件指针，需要继续修改代码段：用socket_read

1.2K2 0

php的各种 IO流以及用法

php的处理,最后输出到用户端/控制台,而这个就是"hello world"就是输出的流,程序把这个字符串处理成一串串的二进制,输出到了用户端/控制台,这样的字符串就叫做输出流同理,用户发起一个...; 可看到,上面使用了php://stdin 协议,打开了一个标准输入的操作句柄,然后可读取用户在控制台输入的数据上面的代码也可写成: <?...,也是关闭的复制,STDIN已打开的不会被关闭 2:php://stdin是只读的 3:请直接使用STDIN常量,而不使用php://stdin 4:使用fgets读取,只能读取一行数据(检测到回车就返回...例如 php://fd/3 引用了文件描述符 3。...可选项属性支持受限于 allow_url_fopen No 受限于 allow_url_include 仅 php://input、 php://stdin、 php://memory 和 php

1.6K2 1

php开发工程师面试题知识点总结(二)–基础篇

false的七种情况整型0 浮点0.0 布尔false 空字符串”,”” 字符串’0′ 空数组[] NULL 超全局数组 $GLOBALS，包含下面8个超全局数组的值...任何一个类，如果它里面至少有一个方法是被声明为抽象的，那么这个类就必须被声明为抽象的。被定义为抽象的方法只是声明了其调用方式（参数），不能定义其具体的功能实现。...var_dump() 格式化输出，并输出变量类型 var_export() 将格式化输出，加true可返回，返回内容可直接做变量使用序列化 serialize() unserialize...() 字符串处理 implode(),join() explode() strrev() 反转字符 trim(),ltrim(),rtrim() strstr() 获取第一次出现指定字符串的字符串...() file_put_contents() 其他 file()整个文件内容按行读取到一个数组里 readfile()整个文件读取出来，并输出远程访问 php.ini 中打开 allow_url_fopen

8212 0

封神台一月靶场通关笔记

zkaqzkaq/is', f)) 这一行代码使用了正则表达式来检查变量 f 中是否包含字符串 "zkaqzkaq"。这里的正则表达式 /.+?...zkaqzkaq/is 意味着它会寻找任何紧跟在任意字符后面的 "zkaqzkaq" 字符串。如果找到了，脚本就会终止执行。...这意味着，如果我们通过将f设置为数组，可以绕过preg_match('/.+?zkaqzkaq/is', f)的检查。 stripos：同样，stripos在处理数组时会返回NULL。.../flag'); } 解题在PHP中，如果一个字符串以数字开头，那么在进行数值比较时，这个字符串会被当作数字处理。例如，字符串 "1234abc" 会被视为数字 1234。...值true, false 和 null 会相应地返回 TRUE, FALSE 和 NULL。如果 json 无法被解码，或者编码数据深度超过了递归限制的话，将会返回NULL 。

8281 0

Web常见漏洞分析及测试方式

管理员后台密码admin/administrator/root几率高（五）.常见场景　　1.前端验证验证码　　2.后台验证验证码　　验证码使用后没有被丢弃　　后台没有验证　　后台验证码参数为空，...攻击者在存在XXS漏洞的网站写入脚本，用户访问XXS页面返回带有恶意JS的页面，触发脚本，执行脚本发送窃取数据到攻击者指定的端口，攻击者伪造用户登录。...配置php.ini如下　　allow_url_fopen=on // 默认打开　　Allow_url_include=on //默认关闭　　搭配合服务器，在配合服务器上写一句话木马　　对（一）和...,且后台不正当的使用了PHP中的魔法函数,就会导致安全问题。...　　数据流:攻击者----->服务器---->目标地址　　根据后台使用的函数的不同,对应的影响和利用方法又有不一样　　PHP中下面函数的使用不当会导致SSRF: file_get_contents

1.9K2 0

PHP一些常见的漏洞梳理

8.读源代码直接读取php文件返回的是代码编译解析后的结果，并不能看到源代码。 http://192.168.1.3/news.php?id=shell.php ?...如果目标allow_url_fopen和allow_url_include状态都为on。既可以永久进行远程包含，达到权限维持的目的。...为字符串的内容 ?...php $data = file_get_contents('php://input'); eval($data); ?> POST直接传参执行php代码： ?...# 验证包含对象文件后缀是否为jpg，如果是才进行包含 <?

5.1K1 0

php开发工程师面试题知识点总结(二)--基础篇

false的七种情况整型0 浮点0.0 布尔false 空字符串'',"" 字符串'0' 空数组[] NULL 超全局数组 $GLOBALS，包含下面8个超全局数组的值 $_GET $_POST _REQUERT...任何一个类，如果它里面至少有一个方法是被声明为抽象的，那么这个类就必须被声明为抽象的。被定义为抽象的方法只是声明了其调用方式（参数），不能定义其具体的功能实现。...var_dump() 格式化输出，并输出变量类型 var_export() 将格式化输出，加true可返回，返回内容可直接做变量使用序列化 serialize() unserialize() 字符串处理...is_writable() is_executable() filectime() 创建时间 fileatime() 访问时间 filemtime() 更新时间其他不需要fopen()打开的函数 file_get_contents...() file_put_contents() 其他 file()整个文件内容按行读取到一个数组里 readfile()整个文件读取出来，并输出远程访问 php.ini 中打开 allow_url_fopen

8083 0

Web漏洞 | 文件包含漏洞

2、判断_GET[page]是不是空，若不空（这里是main.php）就用include来包含这个文件。3、若你也许要说，这样很好呀，可以按照URL来动态包含文件，多么方便呀，怎么产生漏洞的呢？...如何利用这个漏洞本地包含(LFI) 本地包含条件： 1. allow_url_fopen=On 2....if (get_magic_quotes_gpc()) {$_REQUEST["cmd"]=stripslashes($_REQUEST["cmd"]);}　//去掉转义字符（可去掉字符串中的反斜线字符...> 以上这个文件的作用就是接受cmd指定的命令，并调用passthru函数执行，把内容返回在开始行与结束行之间。...把这个文件保存到我们主机的服务器上（可以是不支持PHP的主机），只要能通过HTTP访问到就可以了，例如地址如下：http://www.xxx.cn/cmd.txt,然后我们就可以在那个漏洞主机上构造如下URL来利用了

3.2K1 0

PHP安全配置优化详解

默认情况下PHP版本会被显示在返回头里，如： Response Headers X-powered-by: PHP/7.2.0 将php.ini中如下的配置值改为Off expose_php=Off 3...如果开启全局变量会使一些表单提交的数据被自动注册为全局变量。...如果不限制使用下面的脚本代码（hack.php）可以获取到系统密码。 <?...php echo file_get_contents('/etc/passwd'); 当设置了后则会报错,不再显示相关信息，让系统目录b不会被非法访问： PHP Warning: file_get_contents...allow_url_fopen=Off allow_url_include=Off 其他第三方安全扩展 6.Suhosin。 Suhosin是一个PHP程序的保护系统。

1.2K0 0

【黄啊码】大多数人都会忽略PHP的这些安全设置

默认情况下PHP版本会被显示在返回头里，如： Response Headers X-powered-by: PHP/7.2.0 将php.ini中如下的配置值改为Off expose_php=Off 3...如果开启全局变量会使一些表单提交的数据被自动注册为全局变量。...如果不限制使用下面的脚本代码（hack.php）可以获取到系统密码。 file_get_contents('/etc/passwd'); 当设置了后则会报错,不再显示相关信息，让系统目录b不会被非法访问： PHP Warning: file_get_contents...allow_url_fopen=Off allow_url_include=Off 其他第三方安全扩展 6、Suhosin Suhosin是一个PHP程序的保护系统。

1.5K2 0

点击加载更多

相关资讯

热门标签

活动推荐

运营活动

活动名称

广告关闭