exploit-db网站在3.15日挂出了一个Moodle<3.5版本的一个远程代码执行漏洞，如下所示：
LFI-SPACE是一款功能强大的本地文件包含LFI漏洞扫描工具，该工具不仅功能强大的，而且运行效率也非常高，旨在帮助广大研究人员在目标Web应用程序中扫描和识别本地文件包含LFI漏洞。该工具主要通过两种不同的方法简化了识别潜在安全缺陷的过程：即Google Dork Search和Targeted URL Scan。凭借其全面的方法，LFI-SPACE能够帮助安全专业人员和渗透测试人员评估目标Web应用程序的安全态势。
起初，我们认为坚持一门熟悉的语言是负责任的事情——我们是一个小团队，却已经冒了两次险：切换到微服务和完全重写我们的 Web 应用程序（高流量游戏平台）。 但是，最终我们决定放弃 PHP 拥抱 Go，下面我将解释为什么这么做，并分享一些在我们的微服务架构中数据库相关的想法。
在零信任网络模型中，了解你的用户，设备，服务和数据比以往任何时候都更加重要。为了使零信任架构威力发挥到最大，你需要了解你的架构中的每一个组件。因此，正确了解你的资产是最关键的一步，我们可以采用自动化工具来做资产发现，也可以通过非技术程序（例如查询采购记录，人工盘点）来确定你的资产。第二步，了解你的业务设备的一些信息，包括它们的位置，存储了哪些数据，数据的敏感性是怎样的。资产发现可以帮助我们指定有效且适当的访问策略，这将有助于实现访问授权。
由于工作需要，这些年来也接触了不少的开发框架，Golang的开发框架比较多，不过基本都是Web"框架"为主。这里稍微打了个引号，因为大部分"框架"从设计和功能定位上来讲，充其量都只能算是一个组件，需要项目使用的话得自己四处再去找找其他的组件，或者自己造轮子。如果用于Web开发，这些"框架"的Web开发能力均已完备，无太大差别，且均是自标准库net/http.Server的二次封装。由于框架众多，这里笔者只选择了几个曾做过技术选型评估、较为熟悉，且目前比较流行和典型的Golang"框架"，从适用于业务项目开发框架的角度，做一个简单的横向比较，以便大家在项目框架选型时做个参考。
往期周报汇总地址：http://www.armbbs.cn/forum.php?mod=forumdisplay&fid=12&filter=typeid&typeid=104 本周更新一期视频教程：
本篇文章我们主要介绍在获取到Joomla后台管理权限的情况下如何通过后台来实现Getshell的两种利用方式
DSP板卡一般通过仿真器进行调试，包括程序的加载与固化。由于众多应用场合对产品体积、产品密封性均有严格要求，或我们根本无法近距离接触产品，因此终端产品很多时候无法预留JTAG接口或通过JTAG接口升级程序。此时，在不拆箱的前提下实现程序的远程升级，则显得尤为重要。
SSI（服务器端包含）是放置在HTML页面中的指令，并在服务页面时在服务器上对其进行评估。它们使您可以将动态生成的内容添加到现有的HTML页面，而不必通过CGI程序或其他动态技术来提供整个页面。
大家下午好！我叫赵成，来自蘑菇街。今天给大家分享的题目是从0到1，蘑菇街运维技术管理体系建设分享。正式开始分享之前，首先作一个简单的自我介绍和公司介绍。我叫赵成，花名谦益。2008—2015在华为技术有限公司，高级软件工程师。2015年加入蘑菇街，很有幸，进入蘑菇街后，经历了公司业务高速发展的这样一个阶段，在技术上，我们技术团队也经历了自创建以来非常关键的一个演进过程。同时，也是运维团从小到大的发展起来，运维体系架构也从无到有建设起来的的一个过程。这样的经历对于我和我的团队都是非常宝贵的，今天也是想把这样一个过程在这里分享给大家。
TIOBE Software 发布的 10 月编程语言流行度 评级指出 Python 编程语言 (11.27%) 的胜利，它在一年内从第三位上升到第一位，取代了 C (11.16%) 和 Java (10.46%) 语言。
PYPL 已发布7月编程语言指数榜，Python 在今年5月首次超越 Java 拿下榜首位置后，保持上涨趋势，正逐渐与 Java 拉开差距。
关键时刻，第一时间送达！ 摘要：PHP 是 Web 开发最常用的语言，自创建以来，PHP 语言经历了许多激烈的改进，其中性能是开发人员在评估新版本时考虑的主要标准之一。每个大版本的更新都会带来很多新特性和性能提升。 距离其上次（2004 年）获得年度编程语言，已有 13 年之久。而从历年 TIOBE 编程排行榜趋势图也可以看到，自 2014 年以来，PHP 总体处于持续下滑趋势。 📷 作为世界上最好的语言，PHP 的霸主地位会被撼动吗？ 据 W3Techs.com 的数据显示，近年来，有超过 80% 的网站
在本教程中，我们将激活并学习如何使用Apache 2的mod_rewrite块管理URL重写。该模块允许我们以更干净利落的方式重写URL，将人们可读的路径转换为代码友好的查询字符串或根据其他条件重定向URL。
对于 Web 应用开发者而言，关于不同 Web 框架之间性能差异的争议由来已久。对于一个网络应用或服务而言，我们通常都希望处理速度越快越好。但由于实现语言、底层网络设计、并发处理、路由算法等种种因素的影响，不同的框架实现相同的逻辑，性能可能会有十倍乃至百倍的差异。
TIOBE 2017 年度编程语言榜单已出炉，世界上最好的语言 PHP 再度无缘年度编程语言。
Versionscan是一款可以帮助安全研究人员评估PHP项目安全性的漏洞扫描及安全报告工具，它可以检测已知的CVE漏洞，并报告目标站点的潜在安全问题。
此外，JavaScript 和 PHP 在季军位置的争夺上也十分激烈。二者在上半年的指数得分上十分接近，不过本月由于 PHP 出现了 1.5 个百分点的下降，地位有点危险。
简介 Cron 是 UNIX、SOLARIS、LINUX 下的一个十分有用的工具，通过 Cron 脚本能使计划任务定期地在系统后台自动运行。这种计划任务在 UNIX、SOLARIS、LINUX下术语为 Cron Jobs。Crontab 则是用来记录在特定时间运行的 Cron 的一个脚本文件，Crontab 文件的每一行均遵守特定的格式：
1.报错 include引入文件时，如果遇到错误，会报出Warning，并继续执行后面的代码； require引入文件时，如果遇到错误，会报出Error，并停止运行后面的代码。
BeEF实战 BeEF是一个很强大的XSS演示平台，BeEF有一个控制后台，攻击者可以在后台控制前端的一切。 假如“http://www.xxx/abc.php?id=1”存在xss攻击漏
include()在执行文件时每次都要进行读取和评估,如果每次执行代码时是读取不同的文件，或者通过一组文件迭代循环，就使用include();
在做程序设计的时候避免不了要去引用外部文件，在 PHP 中引入文件的方式有很多种，这里详细说一下 include ；require ；include_once；require_once。
大家可以通过阅读本文，学习关于PHP7.0的五个方面的内容：PHP7.0简介、主要新特性、过去几周关于程序员是否采用php7.0的意愿调查结果、以上调查结果的分析、以及对PHP未来版本的期待。
● 用单引号代替双引号来包含字符串，这样做会更快一些。因为PHP会在双引号包围的字符串中搜寻变量，单引号则不会，注意：只有echo能这么做，它 是一种可以把多个字符串当作参数的“函数”（译注：PHP手册中说echo是语言结构，不是真正的函数，故把函数加上了双引号）。
phPStorm 2022 for Mac是一款非常好用的php开发软件，软件支持所有PHP语言功能，提供最优秀的代码补全、重构、实时错误预防等等功能，能够为程序员提供更为效率的php开发，PhpStorm 2022新版本改进了phpstorm软件的自动完成功能。还增加了代码清理工具，可以删除不必要的部分来优化全类名称，从而更好的提高用户的工作效率。
phpstorm2022是一款非常好用的php开发软件，软件支持所有PHP语言功能，提供最优秀的代码补全、重构、实时错误预防等等功能，能够为程序员提供更为效率的php开发，新版本改进了phpstorm软件的自动完成功能。还增加了代码清理工具，可以删除不必要的部分来优化全类名称，从而更好的提高用户的工作效率。
PHP全球开发者大会是DevLink每年一度的，特别针对PHP开发者的专题活动。每次活动均会请到该领域内的资深开发者、技术专家来分享具体、有针对性、具操作性的内容。每次观众规模约700人，会议时间在2天左右。
做为一名程序员，都比较关注其使用编程语言的热度，一方面编程语言的热度决定了它拥有多大的市场，另一方面也关系到行业内程序员选择机会有多大。
原题：Top 3 most popular programming languages in 2018 (and their annual salaries)
用单引号代替双引号来包含字符串，这样做会更快一些。因为 php 会在双引号包围的字符串中搜寻变量，单引号则不会，注意：只有 echo 能这么做，它是一种可以把多个字符串当作参数的“函数”(译注：PHP 手册中说 echo 是语言结构，不是真正的函数，故把函数加上了双引号)。 1、如果能将类的方法定义成 static，就尽量定义成 static，它的速度会提升将近4倍。 2、$row['id'] 的速度是 $row[id] 的7倍。 3、echo 比 print 快，并且使用 echo 的多
用单引号代替双引号来包含字符串，这样做会更快一些。因为 PHP 会在双引号包围的字符串中搜寻变量，单引号则不会，注意：只有 echo 能这么做，它是一种可以把多个字符串当作参数的“函数”（译注：PHP 手册中说 echo 是语言结构，不是真正的函数，故把函数加上了双引号）。 1、如果能将类的方法定义成 static，就尽量定义成 static，它的速度会提升将近 4 倍。 2、$row[’id’] 的速度是$row[id]的 7 倍。 3、echo 比 print 快，并且使用 echo 的多重参数（译注
关于SSTImap SSTImap是一款功能强大的渗透测试工具，该工具提供了一个交互式接口，可以帮助广大研究人员以自动化的形式检查网站的代码注入和服务器端模版注入漏洞。除此之外，该工具甚至还可以帮助我们自动利用这些发现的漏洞，从而访问目标服务器（主机）操作系统。 该工具还引入了沙盒逃逸技术，具体细节请查阅文章结尾的参考资料。 值得一提的是，该工具能够利用一些代码上下文转义和盲注场景。并且支持Python、Python、Ruby、PHP、Java和通用的未标记模板引擎中类似eval()的代码注入。
在 PHP 安全测试中最单调乏味的任务之一就是检查不安全的 PHP 配置项。作为一名 PHP 安全海报的继承者，我们创建了一个脚本用来帮助系统管理员如同安全专家一样尽可能快速且全面地评估 php.ini 和相关主题的状态。在下文中，该脚本被称作“PHP 安全配置项检查器”，或者 pcc。
1.在可以用file_get_contents替代file、fopen、feof、fgets等系列方法的情况下，尽量用 file_get_contents，因为他的效率高得多!但是要注意file_get_contents在打开一个URL文件时候的PHP版本问题;
1、用单引号代替双引号来包含字符串，这样做会更快一些。因为PHP会在双引号包围的字符串中搜寻变量， 单引号则不会，注意：只有echo能这么做，它是一种可以把多个字符串当作参数的”函数”(译注：PHP手册中说echo是语言结构，不是真正的函数，故 把函数加上了双引号)。
用单引号代替双引号来包含字符串，这样做会更快一些。因为PHP会在双引号包围的字符串中搜寻变量，单引号则不会，注意：只有echo能这么做，它是一种可以把多个字符串当作参数的“函数”（译注：PHP手册中说echo是语言结构，不是真正的函数，故把函数加上了双引号）。
传统的计划任务是使用linux的crontab，每次对计划任务进行修改都要上服务器处理，不方便且不安全。laravel的命令调度器允许我们通过简单的配置即可实现计划任务功能。
require 的使用方法如 require("file.php"); 。这个函数通常放在 PHP 程序的最前面，PHP 程序在执行前，就会先读入 require 所指定引入的文件，使它变成 PHP 程序网页的一部份。常用的函数，亦可以这个方法将它引入网页中。
据报道，GPT-3.5系列模型自2021年四季度就开始混合使用文本和代码进行训练[1]。而在今年11月30日，OpenAI推出了一款新的自然语言对话模型ChatGPT，该模型是对GPT-3.5中一个2022年初完成训练的模型的微调实现[2]。
final是在PHP5版本引入的，它修饰的类不允许被继承，它修饰的方法不允许被重写。
Apache的mod_rewrite模块允许您以更干净的方式重写URL，将人类可读的路径转换为代码友好的查询字符串。它还允许您根据条件重写URL。
PHP 8 正式版即将发布：10 月 29 日会发布 RC3，11 月 12 日会发布 RC4，11 月 26 日会发布正式版本。
Nginx是当今最流行的Web服务器之一。它为世界上7%的web流量提供服务而且正在以惊人的速度增长。它是个让人惊奇的服务器，我愿意部署它。 下面是一个常见安全陷阱和解决方案的列表，它可以辅助来确保你的Nginx部署是安全的。
漏洞无非这么几类，XSS、sql注入、命令执行、上传漏洞、本地包含、远程包含、权限绕过、信息泄露、cookie伪造、CSRF(跨站请求)等。这些漏洞不仅仅是针对PHP语言的，本文只是简单介绍PHP如何有效防止这些漏洞。
Fracker是一套PHP函数调用追踪与分析的工具，其目标是在PHP应用程序的手动安全评估期间协助安全研究人员。
我曾经写了一篇关于Burp插件使用的技术的博文在这里。许多WAF设备可以被伪造的请求欺骗，这些伪造的会被认为是自身正常的请求来处理，因为如果被判断有特定的头部存在，那么对于它来说就是可信的。旁路方法的
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
