目前 LNMP 一键安装包已经是 1.5 的版本了，一个朋友找我帮她看服务器环境的时候出现了这个问题，修改伪静态目录不生效
· 单例模式：保证在整个应用程序的生命周期中，任何一个时刻，单例类的实例都只存在一个，同时这个类还必须提供一个访问该类的全局访问点。
LNMP 1.1及之前的版本使用php.ini里面，open_basedir设置 LNMP 1.2及更高版本防跨目录功能使用.user.ini，该文件在网站根目录下，可以修改.user.ini 里面的open_basedir的值来设置限制访问的目录或删除来移除防跨目录的设置。 .user.ini文件无法直接修改，如要修或删除需要先执行：chattr -i /网站目录/.user.ini 可以使用winscp文件管理、vim编辑器或nano编辑器进行修改。 删除的话rm -f /网站目录/.user.ini 就可以。 修改完成后再执行：chattr +i /网站目录/.user.ini .user.ini不需要重启一般5分钟左右生效，也可以重启一下php-fpm立即生效。 如果要更改网站目录必须要按上述方法修改防跨目录的设置，否则肯定报错！！ LNMP 1.4或更高版本如果不想用防跨目录或者修改.user.ini的防跨目录的目录还需要将 /usr/local/nginx/conf/fastcgi.conf 里面的fastcgi_param PHP_ADMIN_VALUE "open_basedir=$document_root/:/tmp/:/proc/"; 在该行行前添加 # 或删除改行，需要重启nginx。 LNMP 1.4或更高版本也可以直接使用lnmp安装包 tools/ 目录下的 ./remove_open_basedir_restriction.sh 进行移除。 在Thinkphp、codeigniter、Laravel等框架下，网站目录一般是在public下，但是public下的程序要跨目录调用public上级目录下的文件，因为LNMP默认是不允许跨目录访问的，所以都是必须要将防跨目录访问的设置去掉，有时候这些框架类的程序提示500错误也可能是这个问题引起的。 LNMPA或LAMP 模式1.2版本或更高版本的防跨目录的设置使用的对应apache虚拟主机配置文件（lnmp管理工具添加的话文件是 /usr/local/apache/conf/vhost/域名.conf ）里的php_admin_value open_basedir参数进行设置。如果不需要防跨目录设置可以在 php_admin_value open_basedir 该行前面加 # 进行注释，或自行修改参数后面的目录。 重启apache生效。
答案：Safe_mode是php的安全模式。开启之后，主要会对系统操作、文件、权限设置等方法产生 影响，主要用来应对webshell。以下是受到影响的一些函数：
本文主要给大家介绍了关于PHP远程多会话调试的相关内容，分享出来供大家参考学习，下面话不多说了，来一起看看详细的介绍：/【本文中一些PHP版本可能是以前的，如果不是一定要，建议PHP尽量使用7.2以上的版本】/ 解决什么问题：多个项目断点调试，www.mysite.com项目会调用api./【当下浏览的服务器和开发工具是哪些】/mysite.com项目REST接口，在www.mysite.com项目下触发动作时，更方便的直接调试api.mysite.com项目中的接口。
1、什么事面向对象？主要特征是什么？ 面向对象是程序的一种设计方式，它利于提高程序的重用性，使程序结构更加清晰。主要特征：封装、继承、多态。
本文实例讲述了thinkPHP3.0框架实现模板保存到数据库的方法。分享给大家供大家参考，具体如下： 在开发cms的时候用到如果将模板文件存入到数据库并显示到页面中 由于thinkphp3.0都是直接从模板文件中读取再解析的那么对于模板存入数据库中就只有自己开发了,还有thinkphp3.0中有mode的功能我们可以定义自己的mode这样就可以达到目的了,那么如何来扩展自己的mode呢？如下： 1.在你的入口文件中输入
一、什么是防盗链 网站资源都有域的概念，浏览器加载一个站点时，首先加载这个站点的首页，一般是index.html或者index.php等。页面加载，如果仅仅 是加载一个index.html页面，那么该页面里面只有文本，最终浏览器只能呈现一个文本页面。丰富的多媒体信息无法在站点上面展现。 那么我们看到的各类元素丰富的网页是如何在浏览器端生成并呈现的？其实，index.html在被解析时，浏览器会识别页面源码中的 img，script等标签，标签内部一般会有src属性，src属性一般是一个绝对的URL地址或者相
此文主要是分析一下常见的web、系统、逻辑漏洞、各行业漏洞常见存在点,马上实习高峰期也要到来，各位有意向做渗透测试的同学请耐心观看，点点再看并转发，谢谢（有所不足欢迎提意见，毕竟我可能是想水一篇）
select username from security.user where id=1 and (extractvalue(‘anything’,concat(‘/’,(select database()))))
大家好，我是Tone，前几天我们字节脉搏的活动获得行业内各家媒体、企业、粉丝的支持，在此我非常感谢各位，相继的奖品和开奖会陆续送出请耐心的等待。
1.类是简单的用户定义类型。在面向对象的语言中，类就是创建类的对象或实例（功能副本）的模板；类描述了其所属的任何对象的共同特点；类的目的是封装对象的定义和行为，对最终用户隐藏它的具体实现，并使最每次用户按照文档说明和期望的方式来使用类对象。
有时候为了不重写代码，避免冗余无用重复的代码在程序内到处都是。我们总是想方设法 把写过的逻辑拿过来使用。
static 是静态变量,在局部函数中存在且只初始化一次,使用过后再次使用会使用上次执行的结果; 作为计数，程序内部缓存，单例模式中都有用到。
首先，传统的跑在 FPM 下的 PHP 代码是没有“内存泄漏”一说的，所谓的内存泄漏就是忘记释放内存，导致进程占用的物理内存(附1)持续增长，得益于 PHP 的短生命周期，PHP 内核有一个关键函数叫做php_request_shutdown此函数会在请求结束后，把请求期间申请的所有内存都释放掉，这从根本上杜绝了内存泄漏，极大的提高了 PHPer 的开发效率，同时也会导致性能的下降，例如单例对象，没必要每次请求都重新申请释放这个单例对象的内存。（这也是Swoole等cli方案的优势之一，因为 cli 请求结束不会清理内存）。
PHP网络技术（三）——CURL实现跨服务取接口功能 （原创内容，转载请注明来源，谢谢） PHP的curl类库，可以实现远程访问、页面抓取、表单提交、文件上传、本地服务访问等，功能强大而调用方式简单。 一、curl请求 PHP的curl请求包括四个部分： 1、初始化curl句柄。 $ch= curl_init(); 2、对curl句柄进行选项的设置，包括url、参数、最大连接数等。 curl_setopt($ch,CURLOPT_URL
trait的出现就是一种解决需要多继承场景的方式。 使用场景是如果多个类都要用到同样的属性或者方法，这个时候使用Traits可以方便的给类增加这些属性或方法，而不用每个类都去继承一个类，如果说继承类是竖向扩展一个类，那么Traits是横向扩展一个类，从而实现代码复用。
Typecho1是一个简单，轻巧的博客程序。基于PHP，使用多种数据库（Mysql，PostgreSQL，SQLite）储存数据。在GPL Version 2许可证下发行，是一个开源的程序2，目前使用SVN来做版本管理。
D方法实例化模型类的时候通常是实例化某个具体的模型类,如果仅仅是对数据表进行基本的ＣＵＲＤ操作的话，可以使用Ｍ方法．由于不要加载具体的模型类，所以性能会更好．如果D方法没有找到定义的模型类，则会自动调用M方法.
在ThinkPHP中，使用 $this 可以调用当前模块内的方法，但是很多情况下经常会在当前模块中调用其他模块的方法。
Common模块和普通模块一样，可以添加控制器、模型和视图，并且支持多层，但不能直接访问，只能继承，其中模型层 可以作为公用模型，在D方法实例化中调用。D函数实例化的时候 才能自动判断 当前模块模型类不存在的时候实例化公共模块中的同名模型，自己实例化肯定做不到这点了。
作者：LoRexxar'@知道创宇404实验室 0x01 简 述 Typecho是一个简单，轻巧的博客程序。基于PHP，使用多种数据库（Mysql，PostgreSQL，SQLite）储存数据。在GPL Version 2许可证下发行，是一个开源的程序，目前使用SVN来做版本管理。 2017年10月13日，Typecho爆出前台代码执行漏洞，知道创宇404团队研究人员成功复现了该漏洞。 经过分析确认，该漏洞可以无限制执行代码，通过这种方式可以导致getshell。 0x02 复 现 打开安装好的T
概述 RPC这个东西是什么? 第一次听说他, 还要在它的前边加个G, 当时我以为GRPC是一项技术, 后来才知道, 并不是这样. GRPC只是RPC的谷歌实现. 谷歌搜了一下, RPC就是一种: 远程
Typecho是一个简单，轻巧的博客程序。基于PHP，使用多种数据库（Mysql，PostgreSQL，SQLite）储存数据。在GPL Version 2许可证下发行，是一个开源的程序，目前使用SVN来做版本管理。经过分析确认，该漏洞可以无限制执行代码，通过这种方式可以导致getshell。
最近准备接手改进一个别人用Codeigniter写的项目，虽然之前也有用过CI，但是是完全按着自己的意思写的，没按CI的一些套路。用在公众的项目，最好还是按框架规范来，所以还是总结一下，免得以后别人再接手的时候贻笑大方。 1. 首先是 MVC 如果你还不知道 MVC ，应该尽快的学习，你会很快的体会到在 Model 中数据访问，在 Controller 中进行业务逻辑，在 Views 中编写 HTML 代码的价值。如果你之前没有使用过这种模式写过程序，你也许会皱起额头，不过你应该给自己尝试这样做的机会。 一
Laravel和Thinkphp这两个php框架对于php程序员都不陌生，新手可能对Thinkphp比较熟，也是国内比较出名的开源框架，更高级的Laravel一般有点经验的才使用。
在这里解释一下为什么，需要讲述传参方式，由于在很多情况下，以请求头作为参数传递并非waf和人工排查的重中之重且非常误导和隐藏，下面就是常用的几种方式
本文实例讲述了YII框架命名空间、操作响应与视图操作。分享给大家供大家参考，具体如下：
问题反馈及更多常见问题 请访问：https://bbs.vpser.net/search.php使用搜索功能搜索相关关键词。 或访问：https://bbs.vpser.net/forum-25-1.html发帖提问，请问前请确保已经在论坛或https://www.vpser.net搜索过没有相关的解决方法再发帖。
在Laravel框架里，使用return view()来渲染模版；而ThinkPHP里则使用了$this->display()的方式渲染模版。
感觉现在发面试题有些冷门，就跟昨天德国那场似的，不过看看当提前复习了。提前备战。这2个月出门面试的童鞋可注意不要中暑哦。
序列化（串行化）：将变量转换为可保存或传输的字符串的过程；反序列化（反串行化）：将字符串转化成原来的变量使用。
单例模式（Singleton Pattern 单件模式或单元素模式），是常见的一种设计模式，它有三个特点
*本文原创作者：yangyangwithgnu，本文属FreeBuf原创奖励计划，未经许可禁止转载
1.在可以用file_get_contents替代file、fopen、feof、fgets等系列方法的情况下，尽量用 file_get_contents，因为他的效率高得多!但是要注意file_get_contents在打开一个URL文件时候的PHP版本问题;
• CORS： 跨域资源共享是一种放宽同源策略的机制，它允许浏览器向跨源服务器，发出 XMLHttpRequest 请求，从而克服了 AJAX 只能同源使用的限制，以使不同的网站可以跨域获取数据。
Typecho是一个简单，轻巧的博客程序。基于PHP，使用多种数据库（Mysql，PostgreSQL，SQLite）储存数据。在GPL Version 2许可证下发行，是一个开源的程序，目前使用SVN来做版本管理。
首发drops：http://drops.wooyun.org/tips/3978 。
1、模型 模型类一般位于项目的Lib/Model目录下面，当我们创建一个UserModel类的时候，其实已经遵循了系统的约定。模型类的命名规则是除去表前缀的数据表名称，采用驼峰法命名，并且首字母大写，然后加上模型类的后缀定义Model 模型名（类名） 约定对应数据表（假设数据库的前缀定义是 think_） UserModel think_user UserTypeModel think_user_type 如果你的数据表和这个不一样，可以使用以下属性进行调正 tableName 不
1.知识点 $config[‘url_suffix’] = ”;//url后缀 $config[‘enable_query_strings’] = FALSE; $config[‘controller_trigger’] = ‘c’;//类似Thinkphp当中的m，可以传递c=news控制器名 $config[‘function_trigger’] = ‘m’;//类似Thinkphp当中的a，可以传递a=index方法名 $config[‘directory_trigger’] = ‘d’;
本文实例讲述了PHP PDO和消息队列的个人理解与应用。分享给大家供大家参考，具体如下：
大家好，我们是红日安全-代码审计小组。最近我们小组正在做一个PHP代码审计的项目，供大家学习交流，我们给这个项目起了一个名字叫 PHP-Audit-Labs 。现在大家所看到的系列文章，属于项目 第一阶段 的内容，本阶段的内容题目均来自 PHP SECURITY CALENDAR 2017 。对于每一道题目，我们均给出对应的分析，并结合实际CMS进行解说。在文章的最后，我们还会留一道CTF题目，供大家练习，希望大家喜欢。下面是 第2篇代码审计文章：
大家好，我们是红日安全-代码审计小组。最近我们小组正在做一个PHP代码审计的项目，供大家学习交流，我们给这个项目起了一个名字叫 PHP-Audit-Labs 。现在大家所看到的系列文章，属于项目 第一阶段 的内容，本阶段的内容题目均来自 PHP SECURITY CALENDAR 2017 。对于每一道题目，我们均给出对应的分析，并结合实际CMS进行解说。在文章的最后，我们还会留一道CTF题目，供大家练习，希望大家喜欢。下面是 第2篇 代码审计文章：
1.概述 代码审核，是对应用程序源代码进行系统性检查的工作。它的目的是为了找到并且修复应用程序在开发阶段存在的一些漏洞或者程序逻辑错误，避免程序漏洞被非法利用给企业带来不必要的风险。 代码审核不是简单的检查代码，审核代码的原因是确保代码能安全的做到对信息和资源进行足够的保护，所以熟悉整个应用程序的业务流程对于控制潜在的风险是非常重要的。审核人员可以使用类似下面的问题对开发者进行访谈，来收集应用程序信息。 应用程序中包含什么类型的敏感信息，应用程序怎么保护这些信息的？ 应用程序是对内提供服务，还是对外？哪些人会使用，他们都是可信用户么？ 应用程序部署在哪里？ 应用程序对于企业的重要性？ 最好的方式是做一个checklist，让开发人员填写。Checklist能比较直观的反映应用程序的信息和开发人员所做的编码安全，它应该涵盖可能存在严重漏洞的模块，例如：数据验证、身份认证、会话管理、授权、加密、错误处理、日志、安全配置、网络架构。 2.输入验证和输出显示 大多数漏洞的形成原因主要都是未对输入数据进行安全验证或对输出数据未经过安全处理，比较严格的数据验证方式为： 对数据进行精确匹配； 接受白名单的数据； 拒绝黑名单的数据； 对匹配黑名单的数据进行编码； 在PHP中可由用户输入的变量列表如下： $_SERVER $_GET $_POST $_COOKIE $_REQUEST $_FILES $_ENV $_HTTP_COOKIE_VARS $_HTTP_ENV_VARS $_HTTP_GET_VARS $_HTTP_POST_FILES $_HTTP_POST_VARS $_HTTP_SERVER_VARS 我们应该对这些输入变量进行检查 1.命令注入 PHP执行系统命令可以使用以下几个函数：system、exec、passthru、“、shell_exec、popen、proc_open、pcntl_exec 我们通过在全部程序文件中搜索这些函数，确定函数的参数是否会因为外部提交而改变，检查这些参数是否有经过安全处理。 防范方法： 1.使用自定义函数或函数库来替代外部命令的功能 2.使用escapeshellarg函数来处理命令参数 3.使用safe_mode_exec_dir指定可执行文件的路径 2.跨站脚本 反 射型跨站常常出现在用户提交的变量接受以后经过处理，直接输出显示给客户端；存储型跨站常常出现在用户提交的变量接受过经过处理后，存储在数据库里，然后 又从数据库中读取到此信息输出到客户端。输出函数经常使用：echo、print、printf、vprintf、< %=$test%> 对于反射型跨站，因为是立即输出显示给客户端，所以应该在当前的php页面检查变量被客户提交之后有无立即显示，在这个过程中变量是否有经过安全检查。 对于存储型跨站，检查变量在输入后入库，又输出显示的这个过程中，变量是否有经过安全检查。 防范方法： 1.如果输入数据只包含字母和数字，那么任何特殊字符都应当阻止 2.对输入的数据经行严格匹配，比如邮件格式，用户名只包含英文或者中文、下划线、连字符 3.对输出进行HTML编码，编码规范 < < > > ( ( ) ) # # & & ” “ ‘ ‘ ` %60 3.文件包含 PHP可能出现文件包含的函数：include、include_once、require、require_once、show_source、highlight_file、readfile、file_get_contents、fopen、file 防范方法： 1.对输入数据进行精确匹配，比如根据变量的值确定语言en.php、cn.php，那么这两个文件放在同一个目录下’language/’.$_POST[‘lang’].’.php’，那么检查提交的数据是否是en或者cn是最严格的，检查是否只包含字母也不错 2.通过过滤参数中的/、..等字符 4.代码注入 PHP可能出现代码注入的函数：eval、preg_replace+/e、assert、call_user_func、call_user_func_array、create_function 查找程序中程序中使用这些函数的地方，检查提交变量是否用户可控，有无做输入验证 防范方法： 1.输入数据精确匹配 2.白名单方式过滤可执行的函数 5.SQL注入 SQL注入因为要操作数据库，所以一般会查找SQL语句关键字：insert、delete、update、select，查看传递的变量参数是否用户可控制，有无做过安全处理 防范方法： 使用参数化查询 6.XPath注入 Xpath用于操作xml，我们通过搜索xpath来分析，提交给xpath函数的参数是否有经过安全处理 防范方法： 对于数据进行精确匹配 7.HTTP响应拆分 PHP中可导致HTTP响应拆分的
PHP 中的框架是什么？ 框架就是通过提供一个开发 Web 程序的基本架构，PHP 开发框架把 PHPWeb 程序开发摆到了流水线上。换句话说，PHP 开发框架有助于促进快速软件开发（RAD），这节约了开发时间，有助于创建更为稳定的程序，并减少开发者的重复编写代码的劳动。 框架专门用于为这些常用元素(数据库交互、表示层、应用程序逻辑)提供结构，以便可以花费更少的时间来编写数据库接口代码或者表示层接口，而花费更多的时间来编写应用程序本身。以这种方式分解应用程序，这种架构被称为模型-视图-控制器(Mod
完成业务逻辑处理，包括对数据表的增删改查（CUED）操作。对处理的数据进行封装；对字段及属性进行验证；完成对象及属性的过滤等功能。Thinkphp模型类的命名规则：使用驼峰法命名，并且首字母大写，然后加上模型层的名称。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
