我想现在,如果我遇到任何类型的攻击,应该采取什么样的安全措施。

我在服务器日志中得到了这个:

“GET /site.php?a={%24{passthru%28chr%28105%29.chr%28100%29%29}} HTTP / 1.1”404 214“ - ”“Mozilla / 5.0(Windows NT 6.1; WOW64; rv:8.0)Gecko / 20100101 Firefox / 8.0

/?file =../../../../../../proc/self/environ%00 HTTP / 1.1“400 227” - “”“

/stats/awstats.pl configdir = |回声;回波%20YYYAAZ; UNAME;编号;回声%20YYY;回声| HTTP / 1.1“404 222” - “”Mozilla / 5.0(Windows NT 6.1; WOW64; rv:8.0)Gecko / 20100101 Firefox / 8.0“

你能帮我解释一下它能做什么吗? 我应该担心吗? 任何其他信息将不胜感激。

===============>>#1 票数:1

这取决于以下内容:

index.php (或你的/ (root)处理程序)
awstats.pl
site.php

是。

这些是相当常见的SQL注入(和其他)攻击,可能(或可能不)破坏数据库中的数据或服务器上的文件。

这取决于脚本如何处理此输入

===============>>#2 票数:1 已采纳

它似乎是一次未遂攻击,是的。 根据您的应用程序,很难告诉您应该做什么,因为我们不知道您已经完成了什么。

但有一点是肯定的, 始终验证您的用户输入。 假设您在应用程序中使用GET变量,请记住以下几点

  • 根据什么$_GET['a']应该包含,始终确保在处理之前包含(且只有)。 这包括确保它是一个数字( is_numeric )或它匹配特定模式(正则表达式),长度或一些其他预定义标准。
  • 关于$_GET['file'] - 如果您有一个基于$_GET['file']提供文件的脚本,请确保您只在当前目录中包含文件。 这意味着,禁止斜线/和dotdot的..
  • 最后,再次验证您的输入,但假设您不使用eval()或执行任何其他用户输入,您似乎是安全的。

===============>>#3 票数:0

如果你有不安全的代码,你应该担心,例如eval()和非静态包含( include $name; )。 总是避免那些编码风格。

如果您的服务器上的软件已过时,您还应该担心。

  ask by Christine translate from so

未解决问题?本站智能推荐:

5回复

通过URL进行PHP攻击

我的网站最近遭到攻击,在日志中我发现了一些要求,例如: 我在我的根目录中发现了一些可疑文件和文件夹,并且有人在主页上写了“您被黑客入侵”。 文件夹之一是“ lentenfish”,具有类似“ sql.php”,“ cof.pl”,“。htaccess”,“ jen.jeen”的文件
1回复

php中xss攻击的示例/类型

可能重复: 在PHP站点中避免xss攻击的最佳实践是什么 我可以用来测试页面输入的XSS示例? 什么是php中的客户端xss攻击的示例/类型,如何防止它们?
1回复

php XSS攻击后该怎么办?

我的服务器感染了XSS攻击。 所有的php文件(所有的wordpress,我的自定义.php脚本和应用程序)都注入了类似类型的加密代码,如下所示。 在这种情况下该怎么办? 我已经阅读了有关防止XSS的信息,但是找不到关于受到攻击时该怎么做的可靠指南。 另外,我想知道是否可以解密下
2回复

使用PHP来防止图像中的XSS攻击

阅读http://dsecrg.com/files/pub/pdf/XSS_in_images_evasion_bypass_(eng).pdf后 ,很明显允许用户上传图片会让您受到XSS攻击。 我无法找到任何关于如何筛选上传图像进行XSS攻击的PHP示例。 我找到了一个CodeIg
20回复

在PHP站点中避免xss攻击的最佳实践是什么

我已配置PHP,以便打开魔术引号,并关闭全局寄存器。 我尽我所能一直为从用户输入派生的任何输出调用htmlentities()。 我有时也会在数据库中查找xss附带的常见信息,例如... 我还应该做些什么,以及如何确保自己一直想做的事情始终完成。
3回复

使用eBay方式防止用PHP提交的HTML内容的XSS攻击

我已经阅读了很多文章,描述了使用htmlspecialchars和regexs,白名单/黑名单以及使用html过滤脚本(如HTML Purifier,HTMLawed等)等功能来防止用户提交的HTML内容中的XSS攻击的方法。 不幸的是,这些都没有解释像eBay这样的网站如何能够允许如此大
2回复

在处理XSS攻击防护时,什么构成“用户输入”? [关闭]

我希望保护我的代码免受XSS攻击,但是我正在阅读的所有示例都涉及直接用户输入验证(例如,联系表或登录名)。 如果无法直接输入(例如,我的网站仅从数据库中读取而不写入数据库),是否需要保护代码,我有点困惑? 我仍然在想,因为我将数据库分类为外部源,并且回显的变量中的数据仍然来自其他地方。
3回复

PHP网站中的安全策略:SQL注入,XSS攻击和二阶SQL注入

我是网络安全方面的专家,已经研究了两天。 根据OWSAP,SQL注入和XSS攻击是Internet上最常见的攻击,每个程序员都必须处理最少的攻击。 因此,我了解保护他们的方式如下(要求您更正它,如果我错了,请添加): Use PDO and prepared statements t
1回复

PHP安全和XSS攻击 - 拒绝错误执行JavaScript脚本。在请求中找到的脚本的源代码

我正在浏览我的网站并进行安全审核。 我只是接受了这样一个事实,即我需要清理所有用户输入,但我从未真正停止并尝试过真正发生的事情。 我现在开始尝试了。 我在PHP页面上有一个典型的联系表单。 这是_POST数据。 $_POST["first_name"]; 等等 我这样做$fi
2回复

最好的PHP安全方法? [关闭]

我实质上是在接受用户的输入,将其存储在MySQL数据库中,然后将其输出到同一用户和其他用户。 现在,我将mysql_real_escape_string()应用于用户输入的所有内容,并且每当回显某些内容(然后通过AJAX将其显示给用户)时,我都会应用htmlspecialchars() 。