찾다
php教程php手册PHP的超级难题:SuperGlobal带来的黑客

Imperva公司是新型商业安全解决方案的先锋和领导者,致力于为数据中心的关键应用程序和高价值商业数据提供安全解决方案,其率先推出了专为物理及虚拟数据中心设计的新保护层,作为企业安全的第三大支柱。近日,该公司发布了九月黑客情报行动报告――《PHP SuperGlobals:超级难题》(PHPSuperGlobals: Supersized Trouble),对近期针对PHP应用发起的攻击进行了深入分析,包括涉及PHP “SuperGlobal”参数的攻击,并进一步分析了攻击活动的一般特性和万维网整体完整性的意义。

Imperva公司首席技术官Amichai Shulman表示:“受到攻击的主机可被用作僵尸奴隶来攻击其他服务器,因此针对PHP应用发起的攻击可能会影响到整个网络的安全与健康。这些攻击将产生非常严重的后果,因为PHP平台是最常用的网络应用开发平台,为80%以上的网站提供支持,其中包括Facebook和维基百科。很显然,现在安全社区必须更多地关注这个问题。”

该报告还发现,黑客将高级攻击技术融合于简单脚本的能力日益增加。同时,报告认为,PHP SuperGlobals能够为攻击带来高投资回报,因此成为黑客攻击的主要目标。

PHP SuperGlobal参数在黑客社区日益受到欢迎,因为它们可以将多个安全问题整合于同一个高级网络威胁,从而破坏应用逻辑、损害服务器,造成欺诈交易和数据盗窃。Imperva研究团队注意到,在一个月的时间里,每项应用平均遭受144次包含SuperGlobal参数攻击路径的攻击。此外,研究者还发现攻击活动可持续五个月以上,在请求高峰期,每项应用每分钟将遭受多达90次攻击。

该报告的要点与建议包括:

•如密钥暴露于第三方基础设施,则需要采用“撤退”型安全模式:该报告发现,得到广泛使用的PhpMyAdmin(PMA)工具存在薄弱环节,该工具用于在PHP环境下管理MySQL数据库。因为该工具经常与使用 MySQL数据库的其他应用绑定在一起,因此它的薄弱环节会使服务器受到影响,即使管理员并未使用该工具,服务器也会受到代码执行攻击,导致整个服务器被接管。为解决这个问题,建议采用 “撤退”型安全模式。

•最好采用积极安全模式:积极安全机制为各个资源规定了可使用的参数名称,只有这种模式才能防止攻击者利用外部变量操纵薄弱环节,这种攻击使所有人都能使用相同的内部变量名称发送外部参数,从而覆盖原来的内部变量值。

•黑客的技术日渐高明:Imperva研究者发现,攻击者能够发起复杂攻击,并将其整合为简单易用的工具。不过,在表现出强大攻击能力的同时,PHP攻击法也存在缺陷。一种能够探测并消除某个攻击阶段的应用安全解决方案能使整个攻击无功而返。

•应屏蔽请求中的SuperGlobal参数:这些参数没有任何理由出现在请求之中;因此应被禁止。

성명
본 글의 내용은 네티즌들의 자발적인 기여로 작성되었으며, 저작권은 원저작자에게 있습니다. 본 사이트는 이에 상응하는 법적 책임을 지지 않습니다. 표절이나 침해가 의심되는 콘텐츠를 발견한 경우 admin@php.cn으로 문의하세요.
php怎么把负数转为正整数php怎么把负数转为正整数Apr 19, 2022 pm 08:59 PM

php把负数转为正整数的方法:1、使用abs()函数将负数转为正数,使用intval()函数对正数取整,转为正整数,语法“intval(abs($number))”;2、利用“~”位运算符将负数取反加一,语法“~$number + 1”。

php怎么实现几秒后执行一个函数php怎么实现几秒后执行一个函数Apr 24, 2022 pm 01:12 PM

实现方法:1、使用“sleep(延迟秒数)”语句,可延迟执行函数若干秒;2、使用“time_nanosleep(延迟秒数,延迟纳秒数)”语句,可延迟执行函数若干秒和纳秒;3、使用“time_sleep_until(time()+7)”语句。

php怎么除以100保留两位小数php怎么除以100保留两位小数Apr 22, 2022 pm 06:23 PM

php除以100保留两位小数的方法:1、利用“/”运算符进行除法运算,语法“数值 / 100”;2、使用“number_format(除法结果, 2)”或“sprintf("%.2f",除法结果)”语句进行四舍五入的处理值,并保留两位小数。

php怎么根据年月日判断是一年的第几天php怎么根据年月日判断是一年的第几天Apr 22, 2022 pm 05:02 PM

判断方法:1、使用“strtotime("年-月-日")”语句将给定的年月日转换为时间戳格式;2、用“date("z",时间戳)+1”语句计算指定时间戳是一年的第几天。date()返回的天数是从0开始计算的,因此真实天数需要在此基础上加1。

php字符串有没有下标php字符串有没有下标Apr 24, 2022 am 11:49 AM

php字符串有下标。在PHP中,下标不仅可以应用于数组和对象,还可应用于字符串,利用字符串的下标和中括号“[]”可以访问指定索引位置的字符,并对该字符进行读写,语法“字符串名[下标值]”;字符串的下标值(索引值)只能是整数类型,起始值为0。

php怎么判断有没有小数点php怎么判断有没有小数点Apr 20, 2022 pm 08:12 PM

php判断有没有小数点的方法:1、使用“strpos(数字字符串,'.')”语法,如果返回小数点在字符串中第一次出现的位置,则有小数点;2、使用“strrpos(数字字符串,'.')”语句,如果返回小数点在字符串中最后一次出现的位置,则有。

php怎么替换nbsp空格符php怎么替换nbsp空格符Apr 24, 2022 pm 02:55 PM

方法:1、用“str_replace(" ","其他字符",$str)”语句,可将nbsp符替换为其他字符;2、用“preg_replace("/(\s|\&nbsp\;||\xc2\xa0)/","其他字符",$str)”语句。

php怎么读取字符串后几个字符php怎么读取字符串后几个字符Apr 22, 2022 pm 08:31 PM

在php中,可以使用substr()函数来读取字符串后几个字符,只需要将该函数的第二个参数设置为负值,第三个参数省略即可;语法为“substr(字符串,-n)”,表示读取从字符串结尾处向前数第n个字符开始,直到字符串结尾的全部字符。

See all articles

핫 AI 도구

Undresser.AI Undress

Undresser.AI Undress

사실적인 누드 사진을 만들기 위한 AI 기반 앱

AI Clothes Remover

AI Clothes Remover

사진에서 옷을 제거하는 온라인 AI 도구입니다.

Undress AI Tool

Undress AI Tool

무료로 이미지를 벗다

Clothoff.io

Clothoff.io

AI 옷 제거제

AI Hentai Generator

AI Hentai Generator

AI Hentai를 무료로 생성하십시오.

뜨거운 도구

Dreamweaver Mac版

Dreamweaver Mac版

시각적 웹 개발 도구

SublimeText3 Linux 새 버전

SublimeText3 Linux 새 버전

SublimeText3 Linux 최신 버전

SublimeText3 중국어 버전

SublimeText3 중국어 버전

중국어 버전, 사용하기 매우 쉽습니다.

SublimeText3 영어 버전

SublimeText3 영어 버전

권장 사항: Win 버전, 코드 프롬프트 지원!

ZendStudio 13.5.1 맥

ZendStudio 13.5.1 맥

강력한 PHP 통합 개발 환경