打造抵御SQL注入攻击的MS SQL服务器
MS SQL SERVER的安全性问题一般是由于配置不当而引起，攻击者可通过这样的配置获得很高的权限来执行SQL指令(如：sp_addlogin，xp_subdirs的存储过程)，配置一台安全可靠的MS SQL SERVER对你的网站整体安全会起到关键性作用！让我们一起来看一看： 1.用户权限分布 用户分配的...
有史以来最牛的服务器反黑全集
方案一 1.打补丁 微软的作风就是三天一小补，五天一大补，漏洞太多，补一点就好一点，使用“开始-WindowsUpdate"然后把所有的补丁都装进去吧 2.删除默认共享 2.1删除IPC共享 Win2k的缺省安装很容易被攻击者取得帐号列表，即使安装了最新的Serviceack也是如此。在Win2k中有一...
PHP漏洞全解(九)-文件上传漏洞
一套web应用程序，一般都会提供文件上传的功能，方便来访者上传一些文件。 下面是一个简单的文件上传表单form action=upload.php method=post enctype=multipart/form-data name=form1input type=file name=file1 /br /input type=submit value=上传文件 /input type=hidden...
PHP漏洞全解(八)-HTTP响应拆分
HTTP请求的格式 1）请求信息：例如Get /index.php HTTP/1.1，请求index.php文件2）表头：例如Host: localhost，表示服务器地址3）空白行4）信息正文请求信息和表头都必须使用换行字符（CRLF）来结尾，空白行只能包含换行符，不可以有其他空格符。下面例子发送HTTP请求给服务...
PHP漏洞全解(六)-跨网站请求伪造
CSRF(Cross Site Request Forgeries)，意为跨网站请求伪造，也有写为XSRF。攻击者伪造目标用户的HTTP请求，然后此请求发送到有CSRF漏洞的网站，网站执行此请求后，引发跨站请求伪造攻击。攻击者利用隐蔽的HTTP连接，让目标用户在不注意的情况下单击这个链接，由于是用户自己...
PHP漏洞全解(七)-Session劫持
服务端和客户端之间是通过session(会话)来连接沟通。当客户端的浏览器连接到服务器后，服务器就会建立一个该用户的session。每个用户的session都是独立的，并且由服务器来维护。每个用户的session是由一个独特的字符串来识别，成为session id。用户发出请求时，所发送的http...
PHP漏洞全解(四)-xss跨站脚本攻击
XSS(Cross Site Scripting)，意为跨网站脚本攻击，为了和样式表css(Cascading Style Sheet)区别，缩写为XSS 跨站脚本主要被攻击者利用来读取网站用户的cookies或者其他个人数据，一旦攻击者得到这些数据，那么他就可以伪装成此用户来登录网站，获得此用户的权限。跨站脚本攻...
PHP漏洞全解(五)-SQL注入攻击
SQL注入攻击(SQL Injection)，是攻击者在表单中提交精心构造的sql语句，改动原来的sql语句，如果web程序没有对提交的数据经过检查，那么就会造成sql注入攻击。 SQL注入攻击的一般步骤: 1、攻击者访问有SQL注入漏洞的站点，寻找注入点 2、攻击者构造注入语句，注入语句和程序...
PHP漏洞全解(三)-客户端脚本植入
客户端脚本植入(Script Insertion)，是指将可以执行的脚本插入到表单、图片、动画或超链接文字等对象内。当用户打开这些对象后，攻击者所植入的脚本就会被执行，进而开始攻击。 可以被用作脚本植入的HTML标签一般包括以下几种:1、script标签标记的javascript和vbscript等页...
PHP漏洞全解(一)-PHP网页的安全性问题
针对PHP的网站主要存在下面几种攻击方式:1、命令注入(Command Injection)2、eval注入(Eval Injection)3、客户端脚本攻击(Script Insertion)4、跨网站脚本攻击(Cross Site Scripting, XSS)5、SQL注入攻击(SQL injection)6、跨网站请求伪造攻击(Cross Site Request Forgeries,...
PHP漏洞全解(二)-命令注入攻击
命令注入攻击 PHP中可以使用下列5个函数来执行外部的应用程序或函数system、exec、passthru、shell_exec、``(与shell_exec功能相同)函数原型string system(string command, int nbsp; command 要执行的命令 return_var 存放执行命令的执行后的状态值string exec (string com...
使用antixss防御xss
AntiXSS，由微软推出的用于防止XSS攻击的一个类库，可实现输入白名单机制和输出转义 文章最后有antixx演示工程下载 antixss下载地址 http://www.microsoft.com/download/en/details.aspx?id=5242 msi安装程序，安装之后，安装目录下有以下文件 AntiXSS.chm 包括类库的操作手...