首页 文章 精选 留言 我的

精选列表

搜索[ddos 基础防护],共10007篇文章
优秀的个人博客,低调大师

php网站漏洞检测对sql注入漏洞防护

近日,我们SINE安全对metinfo进行网站安全检测发现,metinfo米拓建站系统存在高危的sql注入漏洞,攻击者可以利用该漏洞对网站的代码进行sql注入攻击,伪造恶意的sql非法语句,对网站的数据库,以及后端服务器进行攻击,该metinfo漏洞影响版本较为广泛,metinfo6.1.0版本,metinfo 6.1.3版本,metinfo 6.2.0都会受到该网站漏洞的攻击。 metinfo建站系统使用的PHP语言开发,数据库采用的是mysql架构开发的,在整体的网站使用过程中,简单易操作,可视化的对网站外观进行设计,第三方API接口丰富,模板文件较多,深受企业网站的青睐,建站成本较低可以一键搭建网站,目前国内使用metinfo建站的网站数量较多,该metinfo漏洞会使大部分的网站受到攻击影响,严重的网站首页被篡改,跳转到其他网站,以及网站被劫持跳转到恶意网站上,包括网站被挂马,快照被劫持等情况都会发生。 关于该metinfo漏洞的分析,我们来看下漏洞产生的原因: 该漏洞产生在member会员文件夹下的basic.php代码文件: metinfo独有的设计风格,使用了MVC框架进行设计,该漏洞的主要点在于使用了auth类的调用方式,在解码加密过程的算法中出现了问题,我们再来看下代码: 通常加密,以及解密的算法是不可以可逆的,但是metinfo写的代码可以进行伪造函数值进行逆算,我们看这个构造的恶意函数,这里的key值是从前端met_webkeys值里进行获取,将获取到的webkeys值进行写入,并赋值到配置文件里,config目录下的config_safe.php代码里。我们通过查看这个代码,发现写入的值没有办法进行PHP脚本的执行,本来以为可是伪造key值进行写入木马,发现行不通,但是在这个伪造key值的过程可以进行sql注入攻击,采用是延时注入方式进行攻击,GET请求,以及post请求方式,cookies方式都可以sql注入成功,下面我们来测试下Sql注入: GET请求的方式进行注入: GET /admin/index.php?n=user&m=web&c=register&a=doemailvild HTTP/1.1 Cookie: p=00c7%2FDBwD23b41olxVCthTvDDTRBhldmrrdyA8S3t%2F3yAl4QZ0P%2FSfOS5zlB 把具体的SQL注入语句放到 cookie中进行攻击,我们发现注入成功了。上面这个注入普通用户访问即可成功。下面这个注入方式需要用户登录权限,注册一个普通账户,然后抓取cookies值进行伪造sql注入语句掺杂到cookies里,进行注入,代码如下: /admin/index.php?n=user&m=web&c=profile&a=dosafety_emailadd HTTP/1.1 Cookie: p=497cD9UpkDtsvFzU9IKNlPvSyg1z%2bf09cmp8hqUeyJW9ekvPfJqx8cLKFSHr;< 自己抓取当前登录会员的cookie值> 关于metinfo漏洞的修复建议,以及安全方案 目前metinfo最新版本发布是2019年3月28日,6.2.0版本,官方并没有针对此sql注入漏洞进行修复,建议网站的运营者对网站的后台地址进行更改,管理员的账号密码进行更改,更改为数字+字符+大小写的12位以上的组合方式,对网站的配置文件目录进行安全限制,去掉PHP脚本执行权限,如果自己对代码不是太熟悉,建议找专业的网站安全公司来处理修复漏洞,国内SINE安全,以及绿盟,启明星辰,都是比较不错的网站漏洞修复公司。

优秀的个人博客,低调大师

TypeScript 基础类型

> 「日常开发到底需要记住多少类型?」这篇文章就从最常用的几个类型开始,梳理使用中的常见坑和最佳实践,帮你快速上手。 ## 常用类型 ### boolean、number、string 这三兄弟最简单,直接写类型注解就行。 ```typescript let isDone: boolean = false; let count: number = 42; let name: string = "kai"; ``` **常见坑:原始类型 vs 包装对象** `Boolean`​、`Number`​、`String` 这些大写开头的,是 JavaScript 的包装对象类型,不是原始类型。如果你误写成这样: ```typescript let wrong: Boolean = new Boolean(false); // 不推荐,也不等于 boolean ``` TypeScript 不会报错,但赋值和比较的行为会出乎意料。**始终用小写** **​`boolean`​**​ **、**​**​`number`​**​ **、**​**​`string`​**。 ### array 数组用两种写法,效果一样,挑一种团队内统一就行。 ```typescript let list1: number[] = [1, 2, 3]; let list2: Array = [1, 2, 3]; // 泛型语法 ``` 混合类型数组用联合类型: ```typescript let mixed: (string | number)[] = ["a", 1]; ``` ### enum 枚举用来定义一组命名常量。数字枚举用得最多。 ```typescript enum Direction { Up = 1, Down, // 自动 2 Left, // 3 Right // 4 } ``` 如果你不指定值,默认从 0 开始递增。字符串枚举更可读,但没法反向映射。 ```typescript enum Status { Active = "ACTIVE", Inactive = "INACTIVE", } ``` > **注意**:常量枚举(`const enum`)编译时会被内联,不能有计算成员,也没法在运行时当对象用。不确定时先用普通 enum。 ### any `any` 是逃生口。用了它,TypeScript 就不再检查类型。适合迁移 JavaScript 项目时渐进式补类型,或者处理第三方库未定义的类型。 **新项目尽量别用** **​`any`​**​。实在需要动态类型,用 `unknown` 加类型守卫会更安全。 ### void 表示没有返回值。通常用在函数返回类型。 ```typescript function log(msg: string): void { console.log(msg); } ``` 声明 `void`​ 类型的变量没什么意义,因为只能赋 `undefined`​(严格模式下)或 `null`。 ## 不常用但该知道的类型 ### tuple 元组是固定长度、固定类型的数组。适合表示已知元素数量和类型的结构,比如一个坐标。 ```typescript let point: [number, number] = [10, 20]; ``` 超出长度或类型不对都会报错。**坑**:往元组 push 元素,TypeScript 不会拦,这是个历史遗留问题。 ### null 和 undefined 默认是所有类型的子类型(在 `strictNullChecks`​ 关闭时)。开启严格模式后,`null`​ 和 `undefined` 只能赋给自身,或者用联合类型显式包含。 ```typescript let maybe: string | null = null; ``` **建议把** **​`strictNullChecks`​**​ **打开**,能避免一堆空值引用错误。 ### never never 表示永远不会出现的值。一般用在: - 抛出异常的函数 - 无限循环的函数 - 类型守卫里穷尽所有可能 ```typescript function error(message: string): never { throw new Error(message); } ``` 联合类型收窄到 never 时如果还有值,说明有未处理的分支,编译器会提醒。 ## 类型推断与标注 你不需要每个变量都写类型。TypeScript 能推断的地方就别写,让代码更干净。 ```typescript let age = 25; // 推断为 number let name = "kai"; // string ``` 但函数参数一定得标,否则默认是 `any`​(在 `noImplicitAny` 开启时会报错)。 最后 - 日常开发优先用 boolean、number、string、array、enum、void。 - any 要慎重,unknown 更安全。 - 开启 strict 模式,特别是 strictNullChecks。 - 元组和 never 理解就行,偶尔会遇到。 ‍

资源下载

更多资源
腾讯云软件源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题,腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构,目前腾讯云软件源站支持公网访问和内网访问。

Rocky Linux

Rocky Linux

Rocky Linux(中文名:洛基)是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版,作为CentOS稳定版停止维护后与RHEL(Red Hat Enterprise Linux)完全兼容的开源替代方案,由社区拥有并管理,支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性,采用模块化包装和SELinux安全架构,默认包含GNOME桌面环境及XFS文件系统,支持十年生命周期更新。

Sublime Text

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能,例如代码缩略图,Python的插件,代码段等。还可自定义键绑定,菜单和工具栏。Sublime Text 的主要功能包括:拼写检查,书签,完整的 Python API , Goto 功能,即时项目切换,多选择,多窗口等等。Sublime Text 是一个跨平台的编辑器,同时支持Windows、Linux、Mac OS X等操作系统。

WebStorm

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源,继承了IntelliJ IDEA强大的JS部分的功能。

用户登录
用户注册