该漏洞最早2006年被国外用来讨论数据库字符集设为GBK时，0xbf27本身不是一个有效的GBK字符，但经过 addslashes() 转换后变为0xbf5c27，前面的0xbf5c是个有效的GBK字符，所以0xbf5c27会被当作一个字符0xbf5c和一个单引号来处理，结果漏洞就触发了。mysql_real_escape_string() 也存在相同的问题，只不过相比 addslashes() 它考虑到了用什么字符集来处理，因此可以用相应的字符集来处理字符。在MySQL 中有两种改变默认字符集的方法。方法一： 改变mysql配置文件my.cnf [client] default-character-set=GBK 方法二： 在建立 …

Read More

在存入数据库之前进行哈希计算成为保护用户密码的标准方式，许多常用的哈希算法如md5,甚至是sha1 对于密码存储都是不安全的，因为骇客能够使用那些算法轻而易举地破解密码。对密码进行哈希最安全的方法是使用bcrypt算法。开源的phpass库以一个易于使用的类来提供该功能。<?php // Include the phpass library require_once('phpass-03/PasswordHash.php') // Initialize the hasher without portable hashes (this is more secure) $hasher = new …

Read More

最近在研究关于php安全的问题，无意中看到使用 PHP 构建的 Web 应用如何避免 XSS 攻击，很受启发，尤其是字符集编码、动态内容为JavaScript事件处理函数的参数、动态内容位于 JavaScript 代码段中时的xss攻击，建议大家都看看，今天要介绍的owasp php filters也是从这篇文章中看到的。首先先介绍下owasp，开放Web应用程序安全性项目(OWASP)501(c)(3)全球非营利慈善组织专注于改进的安全软件。进他们的项目主页，项目好多，关于php也有不少，不过有几个很好的安全项目还没有提供相关类库的下载，想杀人的冲动。。。。owasp php filters的主页 …

Read More

简述 安装 % wget http://pecl.php.net/get/xhprof-0.9.4.tgz % tar zxf xhprof-0.9.4.tgz % cd <xhprof_source_directory>/extension/ % phpize % ./configure --with-php-config=<path to php-config> % make && make install 修改php.ini最后面加入[xhprof] extension=xhprof.so ; ; directory used by default …

Read More

CGI: CGI即通用网关接口(Common Gateway Interface)，它是一段程序, 通俗的讲CGI就象是一座桥，把网页和WEB服务器中的执行程序连接起来，它把HTML接收的指令传递给服务器的执行程序，再把服务器执行程序的结果返还给HTML页，也可以简单的理解成HTTP服务器与你的或其它机器上的程序进行“交谈”的一种工具，其程序须运行在网络服务器上。CGI可以用任何一种语言编写，只要这种语言具有标准输入、输出和环境变量。如php,perl,tcl等CGI 的跨平台性能极佳，几乎可以在任何操作系统上实现。每有一个用户请求，都会激活一个CGI进程，当用户请求数量非常多时，会大量挤占系统的资源如内存，CPU时间等，造成效能低 …

Read More

最近项目有个需求，在一个中英文（包括阿拉伯数字0-9）的海量词库中，提取每一个词语的首字母： gannicus——>G 自由自在——>Z 2B——>E 傻X——>S   function get_first_char($string){ $s=iconv('UTF-8','gb2312', $string); if (ord($string)>128) { //汉字开头 $asc=ord($s{0})*256+ord($s{1})-65536; if($asc>=-20319 and $asc<=-20284)return "A"; …

Read More

Read More

Read More

FirePHP是什么？FirePHP是一个利用Firebug console栏输出调试信息方便程序调试。这一切只需要调用几个简单的函数。为什么要用它？在开发环境下正常运行的程序放在生产环境出问题了！我期望可以在生产环境中进行修改。但不期望客户看到这一切的发生。请选择FirePHP。常规的PHPUnit确实能帮助大家进行自动化测试。但我期望更为直观的结果显示。让我知道程序内发生了什么。看到结果按约输出心里才放心。请选择FirePHP。常规var_export()显示在页面上，破坏了页面结构，影响了界面开发人员的工作。请选择FirePHP。更多好处等待您的发现。开始我们的FirePHP之旅：1、确认您安装了FireFox（对FF有持有偏 …

Read More

网上找了一些PHP判断远程图片是否存在方法，有的不能用，有的加载了全部图片，导致响应很慢下面方法亲测可用，赞哦~~function img_exits($url) { $ch = curl_init(); curl_setopt($ch, CURLOPT_URL,$url); curl_setopt($ch, CURLOPT_NOBODY, 1); curl_setopt($ch, CURLOPT_FAILONERROR, 1); curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); $contents = curl_exec($ch); if($contents!==false) return …

Read More