AppNode从安全方面考虑默认禁用一些危险的PHP函数，这让一些用户在安装Discuz论坛的时候检测出fsockopen()和 pfsockopen()函数不支持 如下图，但是不影响继续下一步安装，当然想让支持函数也很简单，如下设置；
AppNode从安全方面考虑默认禁用一些危险的PHP函数，这让一些用户在安装Discuz论坛的时候检测出fsockopen()和 pfsockopen()函数不支持 如下图，但是不影响继续下一步安装，当然想让支持函数也很简单，如下设置； image.png 如果使用AppNode网站管理，进入网站管理>设置>PHP>PHP安全 这里已经配置了一些常用的函数快速设置 禁用的PHP函数去掉pfsockopen和fsockopen，并保存配置重新部署； image.png image.png 部署
PHP配置文件中的disable_functions选项能够在PHP中禁用指定的函数。PHP中有很多危险的内置功能函数，如果使用不当，可造成系统崩溃。禁用函数可能会为研发带来不便，但禁用的函数太少又可能增加研发人员写出不安全代码的概率，同时为黑客非法获取服务器权限提供遍历。
前言:PHP是一种广泛使用的编程语言，它被用于开发各种网站和应用程序。因此，编写规范和清晰的PHP代码至关重要，这有助于提高代码的可读性和可维护性，保证代码的可靠性和安全性。今天，我将向大家介绍一些PHP代码规范及用法。
最近，我们公司的在线业务系统遇到了一个更为棘手的问题。该公司的网站在线商城系统遭到黑客的入侵，数据库中的用户数据被黑客盗取。由于大部分的客户信息的泄露，公司接到了客户投诉说是电话经常被骚扰，以及受到广告短信。由于缺乏专业的安全技术没有安全方面的经验，PHP系统仅限于功能的实现。看来我需要学习安全方面的一些防止SQL注入攻击的，所以我必须下定决心，努力学习网站的安全。通过不断的探索，我找到了一个比较好的PHP安全方面的书籍“PHP安全之路”。在阅读的过程中，我会把学到的东西记下来，以便将来可以进行学习回忆。
PHP被广泛用于各种Web开发。而当服务器端脚本配置错误时会出现各种问题。现今，大部分Web服务器是基于Linux环境下运行（比如：Ubuntu，Debian等）。
今天给大家介绍的是一款名叫PhpSploit的远程控制框架，该工具可以帮助攻击者在客户端与Web服务器端之间建立隐蔽性极强的交互式链接（类似Shell）。简而言之，这是一款后渗透利用工具，它能够让攻击者与目标主机（例如被入侵的Web服务器）维持访问链接，并实现提权操作。 概述 该工具会对标准客户端请求以及Web服务器相关请求的HTTP头数据进行混淆处理，并利用一个小型的多态后门来实现隐蔽通信： 功能介绍 效率高： 1. 提供了超过20款自动化后渗透利用工具； 2. 运行命令、浏览文件系统、绕
PHP Malware Finder是一款针对主机安全和PHP安全的强大检测工具，在该工具的帮助下，广大研究人员可以轻松检测其主机或服务器中可能存在的潜在恶意PHP文件。
PHP配置文件指令多达数百项，为了节省篇幅，这里不对每个指令进行说明，只列出会影响PHP脚本安全的配置列表以及核心配置选项。
现代cms框架（laraval/symfony/slim）的出现，导致现今的php漏洞出现点、原理、利用方法，发生了一些变化，这个系列希望可以总结一下自己挖掘的此类cms漏洞。
1.软件版本：PHP版本应该从PHP官方提供的下载页面下载，注意不要下载beta版本。 PHP官网下载地址为：http://www.php.net/downloads.php 2.控制脚本访问权限：PHP默认配置允许php脚本程序访问服务器上的任意文件，为避免php脚本访问不该访问的文件，从一定程度上限制了php木马的危害，需设置php只能访问网站目录或者其他必须可访问的目录。 /usr/local/apache2/web/为网站根目录，打开php.ini，安全加固配置方式如下： open_basedi
这个是之前的笔记，随笔贴上而已。PHP安全模式在5.4的时候已经不再支持了。查看官网：
在配置文件中，设置display_errors=On，开启了PHP错误显示，在PHP程序遇到错误时，会暴露PHP文件和系统路径，从而容易被威胁，我们需要设置：
內连接仅选出两张表中互相匹配的记录．因此，这会导致有时我们需要的记录没有包含进来。内部连接是两个表中都必须有连接字段的对应值的记录，数据才能检索出来。
最近在研究代码审计漏洞的时候，特别注意了一下PHP反序列化漏洞，该漏洞又被成为PHP对象注入，个人感觉比较有意思，所以通过通俗易懂的语言来简单说一下PHP反序列的安全问题。
JavaScript正则表达式在线测试工具： http://tools.zalou.cn/regex/javascript
更多关于PHP相关内容感兴趣的读者可查看本站专题：《php程序设计安全教程》、《php安全过滤技巧总结》、《PHP基本语法入门教程》、《php面向对象程序设计入门教程》、《php字符串(string)用法总结》、《php+mysql数据库操作入门教程》及《php常见数据库操作技巧汇总》
首先，我们需要关注代码中的漏洞。由于ThinkPHP是一个开源框架，其代码可以被任何人查看和修改，这也给黑客们提供了攻击的机会。因此，我们需要在编写和使用ThinkPHP代码时，时刻关注可能存在的漏洞，并通过安全检测来确保我们的代码安全。
当表单以GET方式提交时，会将用户填写的内容放在URL参数中进行提交。 表单的method属性删除（或将其值改为get）,然后提交表单，会得到如下URL。
Xcheck的php引擎支持原生php的安全检查，也支持对国内主流框架编写的web应用进行安全检查，覆盖包括Thinkphp,Laravel,CodeIgniter,Yii,Yaf等web框架，对尚未覆盖的框架如果有需求，Xcheck也可迅速适配。覆盖漏洞类别包括但不限于以下:
除了$_GET，$_POST，$_Cookie的提交之外，还来源于$_SERVER，$_ENV， $_SESSION 等register_globals = on [未初始化的变量] 当On的时候，传递过来的值会被直接的注册为全局变量直接使用，而Off的时候，我们需要到特定的数组里去得到它，PHP » 4.20 默认为off
导读:说到无限极分类，这个在程序中是常见的一个功能点了。实现的方式也有很多种，今天着重分享一下涉及到数据库的无线分类，可以使用递归处理，也可以使用循环查询数据库处理。但是我们考虑到数据库的性能问题，都不建议采用循环查库。都是直接设计好数据表，直接查库，通过代码层实现。 1.我们实现准备好数据表，代码结构如下。 CREATE TABLE `bg_cate` ( `cate_Id` int(30) unsigned NOT NULL AUTO_INCREMENT, `cate_ParentId` int(3
1、 数据库设计方面，设计结构良好的数据库，允许部分数据冗余。选取最适用的字段属性，尽可能把字段设置为NOT NULL，这样在查询的时候，数据库不用去比较NULL值。
我会开始写一些关于python的安全文章，都是自己学习时候的笔记。大部分的安全学习者的python语法功底都不是很好，我会在这里记录我的学习笔记供大家参考，希望可以帮助一些人更好的学习python。
本文针对通过AppNode面板网站管理环境成功安装Nextcloud后出现安全警告解决办法； image.png 首先通过网站管理>建站市场 下载Nextcloud程序： image.png 访问域名按照步骤成功安装Nextcloud后出现如下图所示安全警告： 第一条：PHP 的设置似乎有问题, 无法获取系统环境变量. 使用 getenv(\"PATH\") 测试时仅返回空结果. 可通过AppNode网站管理>PHP>环境变量 新增FastCGI环境变量即可，配置如下： env[HOSTNAME
大多数时候还真不知道怎么下手，而至于安全性所带来的效果，也总是模糊不清。这也难怪那么多开发者不重视安全性。
本文实例讲述了CentOS 6/7环境下通过yum安装php7的方法。分享给大家供大家参考，具体如下：
安装winrar，关闭多余系统服务项(如自带的防火墙，计划任务，打印机等。注意：请根据服务器实际情况来关闭，如果不懂系统后台服务不建议去修改。
本文针对通过AppNode面板网站管理环境成功安装Nextcloud后出现安全警告解决办法； 首先通过网站管理>建站市场 下载Nextcloud程序：
很多人都想精通一门计算机语言，想学习Java开发，看中的不仅是优厚的待遇，更多的是广阔的行业发展前景。但是我们该怎么做，才能在有限的时间内快速的掌握Java这门语言?我们在做任何事情前，都要对我们的目
移动互联网的发展势头已经远远超过PC互联网，手机移动端上网，以及持有量远超PC电脑，随着移动大数据、区块链的技术在不断的完善，成熟，日常生活中经常会听到某某网站被攻击，网站被黑的新闻报道，再比如一个团购网站被入侵，导致用户的信息隐私被泄露，多少万的会员数据被盗走，这无意是给网站带来了严重的影响与经济损失。
本文实例讲述了PHP防止sql注入小技巧之sql预处理原理与实现方法。分享给大家供大家参考，具体如下：
在使用PHP进行开发时，经常遇到文件上传的场景。其中会隐藏很多我们平时注意不到的安全问题，我总结了一下，主要有几个方面：
最近想给学弟学妹赞助点主机，正好我的VPS资源尚有不少。在提供之前，先检查一下自己的vps安全性，检查以后吓自己一跳。
PHP 资源列表，内容包括：库、框架、模板、安全、代码分析、日志、第三方库、配置工具、Web 工具、书籍、电子书、经典博文等。 依赖管理 依赖和包管理库 Composer/Packagist：一个包和依赖管理器 Composer官网/Packagist官网 Composer Installers：一个多框架Composer库安装器 官网 Pickle：一个PHP扩展安装器 官网 其他的依赖管理 其他的相关依赖管理 Satis：一个静态Composer存储库生成器 官网 Composition：一个在运行时检
由于在编写代码时避免麻烦就需要把公用的一段代码写到一个单独的文件里面，然后供其他文件需要时直接包含调用
很多客户的网站被拦截并提示：“该内容被禁止访问”，大多数客户使用的都是阿里云的虚拟主机以及ECS服务器，最近发生这种问题的网站也越来越多，这几天刚解决完一个客户网站被阿里云：违规URL屏蔽访问处理通知并拦截，经过朋友介绍找到我们SINE安全公司。
PHP是一种开源服务器端脚本语言，应用很广泛。Apache web服务器提供了这种便利：通过HTTP或HTTPS协议，访问文件和内容。配置不当的服务器端脚本语言会带来各种各样的问题。所以，使用php时要小心。以下是Linux下PHP+Apache的26个PHP程序员必知的安全方面的设置
使用GD（或Imagick）重新处理图像并保存处理后的图像。 所有其他人对黑客来说只是有趣的无聊。
为什么整理这篇文章？因为个人感觉在后渗透中是否能够执行命令是至关重要的一步，所以想着将以前在实战中搜集整理的不能执行命令的常见原因和一些解决方法分享给大家。
原文出处： 彭长霖 本文所讨论的安全性环境是在Linux+Apache+Mysql+PHP。超出此范围的安全性问题不在本文范畴之内 一、apache server安全性设置 1、以Nobody用户运行 一般情况下，Apache是由Root 来安装和运行的。如果ApacheServer进程具有Root用户特权，那么它将给系统的安全构成很大的威胁，应确保Apache Server进程以最可能低的权限用户来运行。通过修改httpd.conf文件中的下列选项，以Nobody用户运行Apache 达到相对安全的
久闻php7的速度以及性能那可是比php5系列的任何一版本都要快，具体性能有多好，建议还是先尝试下再说。如果你是升级或新安装，那你首先需要考虑php7和程序是否存在兼容性，如果程序是基于php5开发的，那么就需要考虑php7是否适合你当前的生产环境，今天我就实操并安装用于生产中。
变量安全是PHP安全的重要部分，本文系统地分析了一个变量的“人生之旅”中存在哪些安全问题。变量的人生之路:传入参数→变量生成→变量处理->变量储存。
MIG，全称为Mozilla InvestiGator，它是一款基于Mozilla平台的高速分布式实时数据取证工具，广大研究人员可以利用MIG来对远程终端进行安全诊断和取证分析。
在PHP的开发工作中，对API接口开发不会陌生，后端人员写好接口后，前台就可以通过链接获取接口提供的数据，而返回的数据一般分为两种情况，xml和json, 在这个过程中，服务器并不知道，请求的来源是什么，有可能是别人非法调用我们的接口，获取数据，因此就要使用安全验证来屏蔽某些调用。
收集整理一些常用的PHP类库, 资源以及技巧. 以便在工作中迅速的查找所需… 这个列表中的内容有来自 awesome-php 的翻译, 有来自开发者周刊以及个人的积累等. 一个前端组件的列表 awesome-frontend 推荐 学习资源 PHP相关的有参考价值的社区,博客,网站,文章,书籍,视频等资源 PHP网站(PHP Websites) PHP The Right Way - 一个PHP实践的快速参考指导 PHP Best Practices - 一个PHP最佳实践 - Clea
随着代码安全的普及，越来越多的开发人员知道了如何防御sqli、xss等与语言无关的漏洞，但是对于和开发语言本身相关的一些漏洞和缺陷却知之甚少，于是这些点也就是我们在Code audit的时候的重点关注点。本文旨在总结一些在PHP代码中经常造成问题的点，也是我们在审计的时候的关注重点。（PS：本文也只是简单的列出问题，至于造成问题的底层原因未做详细解释，有兴趣的看官可以自行GOOGLE或者看看底层C代码。知其然，且知其所以然）
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
