PHP个人网站架设连环讲(四)
更新时间：2016年11月25日 16:53 点击：1571
三 首页新闻发布，让你更新更轻松（下）
-----上一讲里，我们已经实现了首页新闻发布的基本功能。在这一讲里，我们再给它添砖加瓦，使它的功能更为强大。（一个好用的软件，其实也就是基本功能加上一批附属功能，这些附属功能主要也是图个方便而已，呵呵）
-----首先，我们再明确一下我们想获得什么方便。我们不希望几十天以前的东西我们忘了删除，结果还作为新闻发布在首页（很丢脸的哦^&^）。如果我们在基本实现中嵌入一段代码，比如说用filectime($filename)，那么在UNIX下，我们就可以得到从1970年1月1日起以秒计到最后一次文件被改动的时间（在WINDOWS下返回的是文件生成的日期时间），而从 1970年1月1日起以秒计到现在的秒数可以用$mynow=mktime()来获得，减法，判断，IF >我们期望的时间，嘿嘿，Sorry，unlink($newspath.$filename)……什么？！您问这段代码应该放在哪儿？您说呢，呵呵。
或许，你并不是常在一台机器上上网，当你获得了一条新的新闻后却不在你的爱机旁，怎么办？最理想的莫过于在主页上上传文件咯。你或许有一个页面（Admin？）需要用密码才能进入（假如你还爱惜自己的网站的话，这是有必要的，最好连文件名都不要让别人知道，呵呵）。下面是一段到处可见的文件上载的代码：
<?
if(isset($upfile))
{
?>
已上载的文件信息如下:
文件存放路径 : <?echo $upfile;?>
原始文件名 : <?echo $upfile_name;?>
文件大小(字节): <?echo $upfile_size;?>
文件类型 : <?echo $upfile_type;?>
<?
}
else
{
?>
<html>
<head><title>新闻上传</title></head><body>
<form enctype="multipart/form-data" method="post" action="<?echo $PHP_SELF;?>">
<input type="hidden" name="MAX_FILE_SIZE" value="50000">
请选择或输入上传文件名: <input name="upfile" type="file">
<input type="submit" value="上传" name="submit">
</form>
</body></html>
<?
}
?>
-----这里我们又见到了PHP和HTML结合的一种形式，可以借鉴。文件上载虽然方便，但总给人一种不安全感。一旦泄密，你的服务器的系统安全就受到了威胁，因为上载的文件可能是一些破坏性的执行文件（也就是病毒或黑客程序啦）稳妥的做法是写一个在线编辑的文件，下面是一个示例：
<?php
$mymode = FTP_ASCII;
$delete = 0;
$local_dir = "/my_local_download_directory";
$host = "ftp.yahoo.de";
$remote_dir = ".";
$anonymous = 0;
$user = "myusername";
$password = "mypassword";
?>
可以读/etc/passwd!
这段。。
[文件上载]
PHP自动支持基于RFC 1867的文件上载，我们看下面的例子：
<FORM METHOD="POST" ENCTYPE="multipart/form-data">
<INPUT TYPE="FILE" NAME="hello">
<INPUT TYPE="HIDDEN" NAME="MAX_FILE_SIZE" VALUE="10240">
<INPUT TYPE="SUBMIT">
</FORM>
上面的代码让用户从本地机器选择一个文件，当点击提交后，文件就会被上载到服务器。这显然是很有用的功能，但是PHP的响应方式使这项功能变的不安全。当PHP第一次接到这种请求，甚至在它开始解析被调用的PHP代码之前，它会先接受远程用户的文件，检查文件的长度是否超过“$MAX_FILE_SIZE variable”定义的值，如果通过这些测试的话，文件就会被存在本地的一个临时目录中。
因此，攻击者可以发送任意文件给运行PHP的主机，在PHP程序还没有决定是否接受文件上载时，文件已经被存在服务器上了。
这里我就不讨论利用文件上载来对服务器进行DOS攻击的可能性了。
让我们考虑一下处理文件上载的PHP程序，正如我们上面说的，文件被接收并且存在服务器上（位置是在配置文件中指定的，一般是/tmp），扩展名一般是随机的，类似“phpxXuoXG”的形式。PHP程序需要上载文件的信息以便处理它，这可以通过两种方式，一种方式是在PHP 3中已经使用的，另一种是在我们对以前的方法提出安全公告后引入的。
但是，我们可以肯定的说，问题还是存在的，大多数PHP程序还是使用老的方式来处理上载文件。PHP设置了四个全局变量来描述上载文件，比如说上面的例子：
$hello = Filename on local machine (e.g "/tmp/phpxXuoXG")
$hello_size = Size in bytes of file (e.g 1024)
$hello_name = The original name of the file on the remote system (e.g "c:temphello.txt")
$hello_type = Mime type of uploaded file (e.g "text/plain")
然后PHP程序开始处理根据“$hello”指定的文件，问题在于“$hello”不一定是一个PHP设置的变量，任何远程用户都可以指定它。如果我们使用下面的方式：
http://vulnhost/vuln.php?hello=/etc/passwd&hello_size=10240&hello_type=text/plain&hello_name=hello.txt
就导致了下面的PHP全局变量（当然POST方式也可以（甚至是Cookie））：
$hello = "/etc/passwd"
$hello_size = 10240
$hello_type = "text/plain"
$hello_name = "hello.txt"
上面的表单数据正好满足了PHP程序所期望的变量，但是这时PHP程序不再处理上载的文件，而是处理“/etc/passwd”（通常会导致内容暴露）。这种攻击可以用于暴露任何敏感文件的内容。
// 禁止网外链接（例如搜索引擎）查看网页内容
if(!empty($_SERVER['HTTP_REFERER']))
{
preg_match("/^(http://)?([^/]+)/i",$_SERVER['HTTP_REFERER'], $matches);
$host = $matches[2];
if(($host=="211.152.50.35")||($host==www.phpv.net))
{
}
else
{
header("Location:http://www.phpv.net");
exit;
}
}
// 禁止直接输入网址查看网页内容
else
{
header("Location:http://www.phpv.net");
exit;
}
只有点击超链接（即<A href=...>） 打开的页面才有HTTP_REFERER环境变量， 其它如 window.open()、 window.location=...、window.showModelessDialog()等打开的窗口都没有HTTP_REFERER 环境变量； 这样的限制会使网站少很多活性。当然啦，鱼与熊掌不可兼得，呵呵。
这样写是不是更简洁些？
if(($host!="211.152.50.35")&&($host!=www.phpv.net)){
header("Location:http://www.phpv.net");
exit;
}
By Vikram Vaswani
Melonfire
November 07, 2000
我们是一群PHP的忠实FANS，我们因各种不同的原因使用它-WEB站点的开发，画图，数据库的联接等 -我们发现，它非常的友好，强大而且易于使用……
你可能已经看到PHP是怎样被用于创建GIF和JPEG图像，从数据库中动态的获取信息等等，但这只是冰山的一角---最新版本的PHP拥有着强大的文件传输功能。
在这篇教程里，我将向你展示FTP怎样通过HTTP和FTP联接来传输文件，同时也会有一些简单的程序代码，跟我来吧！
首先，你应该知道PHP是通过HTTP和FTP联接来传输文件的。通过HTTP上传文件早在PHP3中就已经出现，现在，新的FTP函数已经在新的PHP版本中出现了！
开始之前，你需要确信你的PHP支持FTP，你可以通过以下代码查知：
--------------------------------------------------------------------------------
<?
phpinfo();
?>
--------------------------------------------------------------------------------
检查输出结果，有一“Additional Modules”区，这里列示了你的PHP支持的模块；如果你没发现FTP模块，你最好重新安装PHP，并添加FTP支持！
先让我们来看看一个典型的FTP任务是怎样完成的吧！
--------------------------------------------------------------------------------
$ ftp ftp.server.com
Connected to ftp.server.com
220 server.com FTP server ready.
Name (server:john): john
331 Password required for john.
Password:
230 User john logged in.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
200 PORT command successful.
150 Opening ASCII mode data connection for /bin/ls.
drwxr-xr-x 5 john users 3072 Nov 2 11:03 .
drwxr-xr-x 88 root root 2048 Nov 1 23:26 ..
drwxr--r-- 2 john users 1024 Oct 5 13:26 bin
-----上一讲里，我们已经实现了首页新闻发布的基本功能。在这一讲里，我们再给它添砖加瓦，使它的功能更为强大。（一个好用的软件，其实也就是基本功能加上一批附属功能，这些附属功能主要也是图个方便而已，呵呵）
-----首先，我们再明确一下我们想获得什么方便。我们不希望几十天以前的东西我们忘了删除，结果还作为新闻发布在首页（很丢脸的哦^&^）。如果我们在基本实现中嵌入一段代码，比如说用filectime($filename)，那么在UNIX下，我们就可以得到从1970年1月1日起以秒计到最后一次文件被改动的时间（在WINDOWS下返回的是文件生成的日期时间），而从 1970年1月1日起以秒计到现在的秒数可以用$mynow=mktime()来获得，减法，判断，IF >我们期望的时间，嘿嘿，Sorry，unlink($newspath.$filename)……什么？！您问这段代码应该放在哪儿？您说呢，呵呵。
或许，你并不是常在一台机器上上网，当你获得了一条新的新闻后却不在你的爱机旁，怎么办？最理想的莫过于在主页上上传文件咯。你或许有一个页面（Admin？）需要用密码才能进入（假如你还爱惜自己的网站的话，这是有必要的，最好连文件名都不要让别人知道，呵呵）。下面是一段到处可见的文件上载的代码：
<?
if(isset($upfile))
{
?>
已上载的文件信息如下:
文件存放路径 : <?echo $upfile;?>
原始文件名 : <?echo $upfile_name;?>
文件大小(字节): <?echo $upfile_size;?>
文件类型 : <?echo $upfile_type;?>
<?
}
else
{
?>
<html>
<head><title>新闻上传</title></head><body>
<form enctype="multipart/form-data" method="post" action="<?echo $PHP_SELF;?>">
<input type="hidden" name="MAX_FILE_SIZE" value="50000">
请选择或输入上传文件名: <input name="upfile" type="file">
<input type="submit" value="上传" name="submit">
</form>
</body></html>
<?
}
?>
-----这里我们又见到了PHP和HTML结合的一种形式，可以借鉴。文件上载虽然方便，但总给人一种不安全感。一旦泄密，你的服务器的系统安全就受到了威胁，因为上载的文件可能是一些破坏性的执行文件（也就是病毒或黑客程序啦）稳妥的做法是写一个在线编辑的文件，下面是一个示例：
<?php
$mymode = FTP_ASCII;
$delete = 0;
$local_dir = "/my_local_download_directory";
$host = "ftp.yahoo.de";
$remote_dir = ".";
$anonymous = 0;
$user = "myusername";
$password = "mypassword";
?>
可以读/etc/passwd!
这段。。
[文件上载]
PHP自动支持基于RFC 1867的文件上载，我们看下面的例子：
<FORM METHOD="POST" ENCTYPE="multipart/form-data">
<INPUT TYPE="FILE" NAME="hello">
<INPUT TYPE="HIDDEN" NAME="MAX_FILE_SIZE" VALUE="10240">
<INPUT TYPE="SUBMIT">
</FORM>
上面的代码让用户从本地机器选择一个文件，当点击提交后，文件就会被上载到服务器。这显然是很有用的功能，但是PHP的响应方式使这项功能变的不安全。当PHP第一次接到这种请求，甚至在它开始解析被调用的PHP代码之前，它会先接受远程用户的文件，检查文件的长度是否超过“$MAX_FILE_SIZE variable”定义的值，如果通过这些测试的话，文件就会被存在本地的一个临时目录中。
因此，攻击者可以发送任意文件给运行PHP的主机，在PHP程序还没有决定是否接受文件上载时，文件已经被存在服务器上了。
这里我就不讨论利用文件上载来对服务器进行DOS攻击的可能性了。
让我们考虑一下处理文件上载的PHP程序，正如我们上面说的，文件被接收并且存在服务器上（位置是在配置文件中指定的，一般是/tmp），扩展名一般是随机的，类似“phpxXuoXG”的形式。PHP程序需要上载文件的信息以便处理它，这可以通过两种方式，一种方式是在PHP 3中已经使用的，另一种是在我们对以前的方法提出安全公告后引入的。
但是，我们可以肯定的说，问题还是存在的，大多数PHP程序还是使用老的方式来处理上载文件。PHP设置了四个全局变量来描述上载文件，比如说上面的例子：
$hello = Filename on local machine (e.g "/tmp/phpxXuoXG")
$hello_size = Size in bytes of file (e.g 1024)
$hello_name = The original name of the file on the remote system (e.g "c:temphello.txt")
$hello_type = Mime type of uploaded file (e.g "text/plain")
然后PHP程序开始处理根据“$hello”指定的文件，问题在于“$hello”不一定是一个PHP设置的变量，任何远程用户都可以指定它。如果我们使用下面的方式：
http://vulnhost/vuln.php?hello=/etc/passwd&hello_size=10240&hello_type=text/plain&hello_name=hello.txt
就导致了下面的PHP全局变量（当然POST方式也可以（甚至是Cookie））：
$hello = "/etc/passwd"
$hello_size = 10240
$hello_type = "text/plain"
$hello_name = "hello.txt"
上面的表单数据正好满足了PHP程序所期望的变量，但是这时PHP程序不再处理上载的文件，而是处理“/etc/passwd”（通常会导致内容暴露）。这种攻击可以用于暴露任何敏感文件的内容。
// 禁止网外链接（例如搜索引擎）查看网页内容
if(!empty($_SERVER['HTTP_REFERER']))
{
preg_match("/^(http://)?([^/]+)/i",$_SERVER['HTTP_REFERER'], $matches);
$host = $matches[2];
if(($host=="211.152.50.35")||($host==www.phpv.net))
{
}
else
{
header("Location:http://www.phpv.net");
exit;
}
}
// 禁止直接输入网址查看网页内容
else
{
header("Location:http://www.phpv.net");
exit;
}
只有点击超链接（即<A href=...>） 打开的页面才有HTTP_REFERER环境变量， 其它如 window.open()、 window.location=...、window.showModelessDialog()等打开的窗口都没有HTTP_REFERER 环境变量； 这样的限制会使网站少很多活性。当然啦，鱼与熊掌不可兼得，呵呵。
这样写是不是更简洁些？
if(($host!="211.152.50.35")&&($host!=www.phpv.net)){
header("Location:http://www.phpv.net");
exit;
}
By Vikram Vaswani
Melonfire
November 07, 2000
我们是一群PHP的忠实FANS，我们因各种不同的原因使用它-WEB站点的开发，画图，数据库的联接等 -我们发现，它非常的友好，强大而且易于使用……
你可能已经看到PHP是怎样被用于创建GIF和JPEG图像，从数据库中动态的获取信息等等，但这只是冰山的一角---最新版本的PHP拥有着强大的文件传输功能。
在这篇教程里，我将向你展示FTP怎样通过HTTP和FTP联接来传输文件，同时也会有一些简单的程序代码，跟我来吧！
首先，你应该知道PHP是通过HTTP和FTP联接来传输文件的。通过HTTP上传文件早在PHP3中就已经出现，现在，新的FTP函数已经在新的PHP版本中出现了！
开始之前，你需要确信你的PHP支持FTP，你可以通过以下代码查知：
--------------------------------------------------------------------------------
<?
phpinfo();
?>
--------------------------------------------------------------------------------
检查输出结果，有一“Additional Modules”区，这里列示了你的PHP支持的模块；如果你没发现FTP模块，你最好重新安装PHP，并添加FTP支持！
先让我们来看看一个典型的FTP任务是怎样完成的吧！
--------------------------------------------------------------------------------
$ ftp ftp.server.com
Connected to ftp.server.com
220 server.com FTP server ready.
Name (server:john): john
331 Password required for john.
Password:
230 User john logged in.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
200 PORT command successful.
150 Opening ASCII mode data connection for /bin/ls.
drwxr-xr-x 5 john users 3072 Nov 2 11:03 .
drwxr-xr-x 88 root root 2048 Nov 1 23:26 ..
drwxr--r-- 2 john users 1024 Oct 5 13:26 bin
上一篇: PHP中的(伪)多线程与多进程
相关文章
- 获取网站icon，常用最简单的方法就是通过website/favicon.ico来获取，不过由于很多网站都是在页面里面设置favicon，所以此方法很多情况都不可用。 更好的办法是通过google提供的服务来实现：http://www.google.com/s2/favi...2014-06-07
mac下Apache + MySql + PHP搭建网站开发环境
首先为什不自己分别搭建Apache，PHP和MySql的环境呢？这样自己可以了解更多知识，说起来也更酷。可也许因为我懒吧，我是那种“既然有现成的，用就是了”的人。君子生非异也，善假于物也。两千年前的荀子就教导我们，要善于利用工具...2014-06-07- 我要实现的就是下图的这种样式，可参考下面这两个网站的留言板，他们的实现原理都是一样的畅言留言板样式：网易跟帖样式：原理 需要在评论表添加两个主要字段 id 和 pid ，其他字段随意添加，比如文章id、回复时间、回复内容、...2015-11-08
网站广告怎么投放最好?首屏广告投放类型优化和广告位布局优化的案例
网站广告怎么投放最好?一个网站中广告位置最好的是哪几个地方呢，许多的朋友都不知道如何让自己的网站广告收效最好了，今天我们就一起来看看吧。 在说到联盟优化前,...2016-10-10- 个人网站建设应该考虑哪些问题呢？这个问题我们先在这里不说，下文会一一列出来，希望这些建义能帮助到各位同学哦。 我相信VIP成员里面有很多站长，每个人几乎都拥有一个...2016-10-10
- 分享一篇利用论坛签名提升网站权重的方法，在推广中论坛签名也是一种不错的外链推荐的方法，但现在权重越来越低了，有需要的朋友可以看看。 话说有一天在站长网上面看...2016-10-10
- 一、靠前排名成搜索关注的对象 从搜索引擎的角度考虑一下，就不难理解为什么搜索引擎对排名在首页的网站那么慎重，甚至对新进排名在首页的一些网站进行为期一个多月的...2016-10-10
- ...2016-09-20
- 关于如何提高网站的吸引呢，下面我们列出了5点，让你的网站pv大大的提升哦 1、建立一个清晰的网站地图 一个清晰的网站地图可以给你的用户提供一个简介明了的...2017-07-06
- 今天小编就为大家分享一篇关于C#网站生成静态页面的实例讲解，小编觉得内容挺不错的，现在分享给大家，具有很好的参考价值，需要的朋友一起跟随小编来看看吧...2020-06-25
- 网站改版了怎么办?很多网站在改版的时候，非常担心用户习惯。 有的担心是合理的，有的担心是多余的。担心之前，先搞清两个问题： 首先，你有没有老用户？有多少老用户？如果...2016-09-20
- 第一，网站的内容;请各位站长朋友不要一天到晚只想着出什么好的绝招来推广网站，却忽略了网站的内容;其实网站的内容是极为重要的，因为这是你的本，你的根!网站的内容只有不断...2017-07-06
- 在耽误近一年时间的情况下，痛定思痛，决定自己动手做公司网站的SEO，具体过程如下： 1.买了几本专门SEO方面的书本，啃了两个星期，经常上比如www.111cn.net 和seo教程why之类...2016-10-10
- 这两个网站的title和description部分关键词有点过于强调，决定弱化这种现象成了我的当务之急，以提高网站在搜索引擎里的品牌形象(搜索引擎返回结果就这两部分)。通过分析...2016-10-10
- 一、小序 HTML简单易学又通用，一般的PHP程序就是嵌入在HTML语言之中实现的。但是随着WEB越来越广泛的应用，HTML的弱点也越来越明显了。XML的出现，弥补了这些不足，它提供...2016-11-25
- 平常工作生活中，boos可能会给我们很多网站取提取信息，这些网站有的无法响应，有的404，有的501…真的需要所有网站都访问再提取信息吗？今天写一个小工具用于筛选网站中能访问的网站，在此仅举一例，即状态码为200。...2021-01-22
- 那类网站放Google adsense广告好呢，好了费话不说多了我们来看看Google adsense吧 1. 增加Google AdSense的展示效果，理论上是页面越多，展示的就越多。但是Google...2017-07-06
- 如何提高网站内页权重 前面做站者总结出来的道理其实都是很实惠的，只是你有没有那个恒心去坚持了。所谓的“内容为王，外链为后!”是一点都不假的，一名站长...2017-07-06
- 在线预订系统即便存在一点点小错误，也可以导致有价值客户的流失。Jones在其主题为“别让我想，也别让我等”的演讲中，强调客户满意度必然可以换来客户忠诚度。...2016-10-10
- 百度不更新网站原因分析 今天我们来看一篇关于 哦，你是不是其它的之一呢，好了下面来看看各位站长总结了来百度不更新网页的原因吧。 一、首页的大flash图片。 ...2016-10-10