网站安全自查

[yitouxiansuan]

php大神么，有没有比较好的经验，编写更安全的代码？
对于常用的php方法，有哪些容易忽视的导致安全问题的？
web安全有很多分类，比如注入、xss等等，从php角度出发，需要我们注意什么，有什么经验总结？

我希望开一个题目，大家一起讨论一下，用php的心得。各抒己见，说不定有帮助。

[yitouxiansuan]

自己先说一个，比如php的file_get_contents()方法，由于此方法支持传文件和网址。有些人理解不透，使用不当就会存在问题。 比如：

<?php
$url = $_GET['url'];
$data = file_get_contents($url);
echo $data;

漏洞利用，url传值：/etc/passwd 不做url格式判断，会导致下载服务器任意文件内容，导致敏感信息泄露。

[傲雪星枫]

参考：http://blog.csdn.net/wizardforcel/article/details/50695852 比较完整的

[夏之冰雪]

引用 1 楼 yitouxiansuan 的回复:

自己先说一个，比如php的file_get_contents()方法，由于此方法支持传文件和网址。有些人理解不透，使用不当就会存在问题。 比如：

<?php
$url = $_GET['url'];
$data = file_get_contents($url);
echo $data;

漏洞利用，url传值：/etc/passwd 不做url格式判断，会导致下载服务器任意文件内容，导致敏感信息泄露。

这个代码本身就不安全，如果url传递参数“10.0.*.*”、“192.168.*.*”，岂不是内网间接漫游了

[xuzuning]

不轻易相信传入的数据。这是做网站的基本原则 如果你连这点都做不到，那就干脆转行算了