PHP 安全及相关
| 于系统调用的参数列表部分，escapeshellarg()是一个更好的选择。 保护上传的文件 在整篇文章中，我一直只着重讲系统调用如何被恶意用户劫持以产生我们不希望结果。 但是，这里还有另外一个潜在的安全风险值得提到。再看到我们的例程，把你的注意力集中在下边的行上： $tmp_name =
 Copyright ©1999-2011 厦门凌众科技有限公司 厦门优通互联科技开发有限公司 All rights reserved 地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁） 邮编(ZIP)：361008 电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134 《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号
 $cmp_name = dirname(
Copyright ©1999-2011 厦门凌众科技有限公司 厦门优通互联科技开发有限公司 All rights reserved 地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁） 邮编(ZIP)：361008 电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134 《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号
"/{
Copyright ©1999-2011 厦门凌众科技有限公司 厦门优通互联科技开发有限公司 All rights reserved 地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁） 邮编(ZIP)：361008 电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134 《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号
$filename = basename($cmp_name); 这个安全风险并不来自于PHP自身，而在于保存在$tmp_name中的文件名实际上根本不是一个文件，而是指向恶意用户希望访问的文件，比如，/etc/passwd。 在绝大多数情况下，你将需要移动上传的文件，PHP提供了move_uploaded_file()函数，来配合is_uploaded_file()。这个函数和rename()一样用于移动文件，只是它会在执行前自动检查以确保被移动的文件是上传的文件。move_uploaded_file()的语法如下： move_uploaded_file($filename, $destination); 注： John Coggeshall 是一位PHP顾问和作者。从他开始为PHP不眠已经5年左右了。 |
|||||||||||||||
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |