360提供的php防注入代码

1.将safe.func.php传到要包含的文件的目录

 代码如下

<?php 
//Code By Safe3 
function customError($errno, $errstr, $errfile, $errline) 
{ 
  echo "<b>Error number:</b> [$errno],error on line $errline in $errfile<br />" ; 
  die(); 
} 
set_error_handler("customError",E_ERROR); 
$getfilter="'|(and|or)\\b.+?(>|<|=|in|like)|\\/\\*.+?\\*\\/|<\\s*script\\b|\\bEXEC\\b|UNION.+?Select|Update.+?SET|Insert\\s+INTO.+?VALUES|(Select|Delete).+?FROM|(Create|Alter|Drop|TRUNCATE)\\s+(TABLE|DATABASE)" ; 
$postfilter="\\b(and|or)\\b.{1,6}?(=|>|<|\\bin\\b|\\blike\\b)|\\/\\*.+?\\*\\/|<\\s*script\\b|\\bEXEC\\b|UNION.+?Select|Update.+?SET|Insert\\s+INTO.+?VALUES|(Select|Delete).+?FROM|(Create|Alter|Drop|TRUNCATE)\\s+(TABLE|DATABASE)" ; 
$cookiefilter="\\b(and|or)\\b.{1,6}?(=|>|<|\\bin\\b|\\blike\\b)|\\/\\*.+?\\*\\/|<\\s*script\\b|\\bEXEC\\b|UNION.+?Select|Update.+?SET|Insert\\s+INTO.+?VALUES|(Select|Delete).+?FROM|(Create|Alter|Drop|TRUNCATE)\\s+(TABLE|DATABASE)" ; 
function StopAttack($StrFiltKey,$StrFiltValue,$ArrFiltReq){ 

if(is_array($StrFiltValue)) 
{ 
  $StrFiltValue=implode($StrFiltValue); 
} 
if (preg_match("/".$ArrFiltReq."/is",$StrFiltValue)==1){ 
    //slog("<br><br>操作IP: ".$_SERVER["REMOTE_ADDR"]."<br>操作时间: ".strftime("%Y-%m-%d %H:%M:%S")."<br>操作页面:".$_SERVER["PHP_SELF"]."<br>提交方式: ".$_SERVER["REQUEST_METHOD"]."<br>提交参数: ".$StrFiltKey."<br>提交数据: ".$StrFiltValue); 
    print "360websec notice:Illegal operation!" ; 
    exit(); 
}   
} 
//$ArrPGC=array_merge($_GET,$_POST,$_COOKIE); 
foreach($_GET as $key=>$value){ 
  StopAttack($key,$value,$getfilter); 
} 
foreach($_POST as $key=>$value){ 
  StopAttack($key,$value,$postfilter); 
} 
foreach($_COOKIE as $key=>$value){ 
  StopAttack($key,$value,$cookiefilter); 
} 
/*
if (file_exists('update360.php')) { 
  echo "请重命名文件update360.php,防止黑客利用<br/>"; 
  die(); 
}
*/
function slog($logs) 
{ 
  $toppath=$_SERVER["DOCUMENT_ROOT"]."/log.htm"; 
  $Ts=fopen($toppath,"a+"); 
  fputs($Ts,$logs."\r\n"); 
  fclose($Ts); 
}  

介绍两种方法吧,首先请把以下代码保存为safe.php放在网站根目录下,然后在每个php文件前加include(“/safe.php“);即可
:

<?php教程
//要过滤的非法字符
$ArrFiltrate=array(”‘”,”;”,”union”);
//出错后要跳转的url,不填则默认前一页
$StrGoUrl=””;
//是否存在数组中的值
function FunStringExist($StrFiltrate,$ArrFiltrate){
foreach ($ArrFiltrate as $key=>$value){
if (eregi($value,$StrFiltrate)){
return true;
}
}
return false;
}
//合并$_POST 和 $_GET
if(function_exists(array_merge)){
$ArrPostAndGet=array_merge($HTTP_POST_VARS,$HTTP_GET_VARS);
}else{
foreach($HTTP_POST_VARS as $key=>$value){
$ArrPostAndGet[]=$value;
}
foreach($HTTP_GET_VARS as $key=>$value){
$ArrPostAndGet[]=$value;
}
}
//验证开始
foreach($ArrPostAndGet as $key=>$value){
if (FunStringExist($value,$ArrFiltrate)){
echo “<script
language=”javascript教程”>alert(”非法字符”);</script>”;
if (emptyempty($StrGoUrl)){
echo “<script
language=”javascript”>history.go(-1);</script>”;
}else{
echo “<script
language=”javascript”>window.location=””.$StrGoUrl.””;</script>”;
}
exit;
}
}
?>

2.在页面中加入防护,有两种做法,根据情况二选一即可:

<?php
$magic_quotes_gpc = get_magic_quotes_gpc();
@extract(daddslashes($_COOKIE));
@extract(daddslashes($_POST));
@extract(daddslashes($_GET));
if(!$magic_quotes_gpc) {
$_FILES = daddslashes($_FILES);
}

php防注入代码方法一:

a).在所需要防护的页面加入代码

function daddslashes($string, $force = 0) {
if(!$GLOBALS[‘magic_quotes_gpc’] || $force) {
if(is_array($string)) {
foreach($string as $key => $val) {
$string[$key] = daddslashes($val, $force);
}
} else {
$string = addslashes($string);
}
}
return $string;
}
?>

复制代码 代码如下:

require_once(‘safe.func.php’);
就可以做到页面防注入、跨站
如果想整站防注,就在网站的一个公用文件中,如数据库链接文件config.inc.php中!
添加require_once(‘safe.func.php’);来调用本代码

防注入二

<?php
//要过滤的非法字符
$ArrFiltrate=array(”‘”,”;”,”union”);
//出错后要跳转的url,不填则默认前一页
$StrGoUrl=””;
//是否存在数组中的值
function FunStringExist($StrFiltrate,$ArrFiltrate){
foreach ($ArrFiltrate as $key=>$value){
if (eregi($value,$StrFiltrate)){
return true;
}
}
return false;
}
//合并$_POST 和 $_GET
if(function_exists(array_merge)){
$ArrPostAndGet=array_merge($HTTP_POST_VARS,$HTTP_GET_VARS);
}else{
foreach($HTTP_POST_VARS as $key=>$value){
$ArrPostAndGet[]=$value;
}
foreach($HTTP_GET_VARS as $key=>$value){
$ArrPostAndGet[]=$value;
}
}
//验证开始
foreach($ArrPostAndGet as $key=>$value){
if (FunStringExist($value,$ArrFiltrate)){
echo “<script
language=\”javascript\”>alert(\”非法字符\”);</script>”;
if (emptyempty($StrGoUrl)){
echo “<script
language=\”javascript\”>history.go(-1);</script>”;
}else{
echo “<script
language=\”javascript\”>window.location=\””.$StrGoUrl.”\”;</script>”;
}
exit;
}
}
?>

safe.func.php 代码如下:

 代码如下

php防注入代码方法二:

 代码如下

function inject_check($sql_str) { //防止注入
  $check =
eregi(‘select|insert|update|delete|’|/*|*|../|./|union|into|load_file|outfile’,
$sql_str);
  if ($check) {
   echo “输入非法注入内容!”;
   exit ();
  } else {
   return $sql_str;
  }
 }
 function checkurl() { //检查来路
  if
(preg_replace(“/https?://([^:/]+).*/i”,
“\1”, $_SERVER[‘HTTP_REFERER’]) !== preg_replace(“/([^:]+).*/”,
“\1”, $_SERVER[‘HTTP_HOST’])) {
   header(“Location: http://www.111cn.net”);
   exit();
  }
 }

复制代码 代码如下:

<?php
/**
 * 防注入
 *
 * “<br><br>操作IP:
“.$_SERVER[“REMOTE_ADDR”].”<br>操作时间: “.strftime(“%Y-%m-%d
%H:%M:%S”).”<br>操作页面:”.$_SERVER[“PHP_SELF”].”<br>提交方式:
“.$_SERVER[“REQUEST_METHOD”].”<br>提交参数:
“.$StrFiltKey.”<br>提交数据: “.$StrFiltValue);
 */

/* 过滤所有GET过来变量 */
foreach ($_GET as $get_key=>$get_var)
{
if (is_numeric($get_var)) {
$get[strtolower($get_key)] = get_int($get_var);
} else {
$get[strtolower($get_key)] = get_str($get_var);
}
}
/* 过滤所有POST过来的变量 */
foreach ($_POST as $post_key=>$post_var)
{
if (is_numeric($post_var)) {
$post[strtolower($post_key)] = get_int($post_var);
} else {
$post[strtolower($post_key)] = get_str($post_var);
}
}
/* 过滤函数 */
//整型过滤函数
function get_int($number)
{
return intval($number);
}
//字符串型过滤函数
function get_str($string)
{
if (!get_magic_quotes_gpc()) {
return addslashes($string);
}
return $string;
}

function safe_custom_error($errno, $errstr, $errfile, $errline) {
 echo “<b>Error number:</b> [$errno],error on line
$errline in $errfile<br />”;
 die();
}

您可能感兴趣的文章:

  • PHP和XSS跨站攻击的防范
  • PHP防注入安全代码
  • php SQL防注入代码集合
  • PHP中防止SQL注入攻击和XSS攻击的两个简单方法
  • php通用防注入程序 推荐
  • PHP 防注入函数(格式化数据)
  • 比较好用的PHP防注入漏洞过滤函数代码
  • 细谈php中SQL注入攻击与XSS攻击
  • PHP利用str_replace防注入的方法
  • php过滤XSS攻击的函数
  • xss防御之php利用httponly防xss攻击
  • php中addslashes函数与sql防注入
  • 整理php防注入和XSS攻击通用过滤

set_error_handler(“safe_custom_error”, E_ERROR);

function safe_stop_attack($k, $v, $method=0) {
 $filter = array(
  “‘|(and|or) .+?(>|<|=|in|like)|/*.+?*/|<s*script | EXEC
|UNION.+?SELECT|UPDATE.+?SET|INSERTs+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)s+(TABLE|DATABASE)”,//get
  ” (and|or) .{1,6}?(=|>|<| in | like )|/*.+?*/|<s*script |
EXEC
|UNION.+?SELECT|UPDATE.+?SET|INSERTs+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)s+(TABLE|DATABASE)”//post,
cookie
 );

 $filter = isset($filter[$method]) ? $filter[$method] :
$filter[0];
 
 if(is_array($v)) {
  $v = implode($v);
 }
 if (preg_match(“/” .
$filter . “/is”, $v) == 1) {
        exit(“本次操作已记录。请不要继续非法操作。”);
 }
}

if (isset($_GET)) {
 foreach($_GET as $k =>
$v) safe_stop_attack($k, $v, 0);
}
if (isset($_POST)) {
 foreach($_POST as $k => $v) safe_stop_attack($k, $v, 1);
}
if (isset($_COOKIE)) {
 foreach($_COOKIE as $k => $v) safe_stop_attack($k, $v, 1);
}

上面更适合防sql注入

 代码如下

<?php
/* 过滤所有GET过来变量 */
foreach ($_GET as $get_key=>$get_var)
{
if (is_numeric($get_var)) {
$get[strtolower($get_key)] = get_int($get_var);
} else {
$get[strtolower($get_key)] = get_str($get_var);
}
}
/* 过滤所有POST过来的变量 */
foreach ($_POST as $post_key=>$post_var)
{
 if (is_numeric($post_var))
 {
  $post[strtolower($post_key)] = get_int($post_var);
 }
 else
 {
  $post[strtolower($post_key)] = get_str($post_var);
 }
}
/* 过滤函数 */
//整型过滤函数
function get_int($number)
{
 return intval($number);
}
//字符串型过滤函数
function get_str($string)
{
 if (!get_magic_quotes_gpc())
 {
  return addslashes($string);
 }
 return $string;
}
?>

除了直接在php中防注入我们还可以配置php.ini文件

。我们先使用任何编辑工具打开  /usr/local/php/etc/php.ini,如果你是采用其他方式安装,配置文件可能不在该目录。  

 (1)
打开php的安全模式  php的安全模式是个非常重要的内嵌的安全机制,能够控制一些php中的函数,比如system(),

  同时把很多文件操作函数进行了权限控制,也不允许对某些关键文件的文件,比如/etc/passwd,
  但是默认的php.ini是没有打开安全模式的,我们把它打开:
  safe_mode = on

  (2) 用户组安全

  当safe_mode打开时,safe_mode_gid被关闭,那么php脚本能够对文件进行访问,而且相同
  组的用户也能够对文件进行访问。
  建议设置为:

  safe_mode_gid =
off  如果不进行设置,可能我们无法对我们服务器网站目录下的文件进行操作了,比如我们需要
  对文件进行操作的时候。

  (3) 安全模式下执行程序主目录

  如果安全模式打开了,但是却是要执行某些程序的时候,可以指定要执行程序的主目录:

  safe_mode_exec_dir = D:/usr/bin

  一般情况下是不需要执行什么程序的,所以推荐不要执行系统程序目录,可以指向一个目录,
  然后把需要执行的程序拷贝过去,比如:

  safe_mode_exec_dir = D:/tmp/cmd

  但是,我更推荐不要执行任何程序,那么就可以指向我们网页目录:

  safe_mode_exec_dir = D:/usr/www

  (4) 安全模式下包含文件

  如果要在安全模式下包含某些公共文件,那么就修改一下选项:

  safe_mode_include_dir =
D:/usr/www/include/  其实一般php脚本中包含文件都是在程序自己已经写好了,这个可以根据具体需要设置。

  (5) 控制php脚本能访问的目录

  使用open_basedir选项能够控制PHP脚本只能访问指定的目录,这样能够避免PHP脚本访问
  不应该访问的文件,一定程度上限制了phpshell的危害,我们一般可以设置为只能访问网站目录:

  open_basedir = D:/usr/www

  (6) 关闭危险函数

  如果打开了安全模式,那么函数禁止是可以不需要的,但是我们为了安全还是考虑进去。比如,
  我们觉得不希望执行包括system()等在那的能够执行命令的php函数,或者能够查看php信息的
  phpinfo()等函数,那么我们就可以禁止它们:

  disable_functions =
system,passthru,exec,shell_exec,popen,phpinfo  如果你要禁止任何文件和目录的操作,那么可以关闭很多文件操作

  disable_functions =
chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir,
  rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown

  以上只是列了部分不叫常用的文件处理函数,你也可以把上面执行命令函数和这个函数结合,
  就能够抵制大部分的phpshell了。

  (7) 关闭PHP版本信息在http头中的泄漏

  我们为了防止黑客获取服务器中php版本的信息,可以关闭该信息斜路在http头中:

  expose_php = Off  比如黑客在 telnet
www.12345.com 80
的时候,那么将无法看到PHP的信息。

  (8) 关闭注册全局变量

  在PHP中提交的变量,包括使用POST或者GET提交的变量,都将自动注册为全局变量,能够直接访问,
  这是对服务器非常不安全的,所以我们不能让它注册为全局变量,就把注册全局变量选项关闭:
  register_globals = Off
  当然,如果这样设置了,那么获取对应变量的时候就要采用合理方式,比如获取GET提交的变量var,
  那么就要用$_GET[‘var’]来进行获取,这个php程序员要注意。

  (9) 打开magic_quotes_gpc来防止SQL注入

  SQL注入是非常危险的问题,小则网站后台被入侵,重则整个服务器沦陷,

  所以一定要小心。php.ini中有一个设置:

  magic_quotes_gpc = Off

  这个默认是关闭的,如果它打开后将自动把用户提交对sql的查询进行转换,
  比如把 ‘ 转为 ’等,这对防止sql注射有重大作用。所以我们推荐设置为:

  magic_quotes_gpc = On

  (10) 错误信息控制

  一般php在没有连接到数据库或者其他情况下会有提示错误,一般错误信息中会包含php脚本当
  前的路径信息或者查询的SQL语句等信息,这类信息提供给黑客后,是不安全的,所以一般服务器建议禁止错误提示:

  display_errors =
Off  如果你却是是要显示错误信息,一定要设置显示错误的级别,比如只显示警告以上的信息:

  error_reporting = E_WARNING &
E_ERROR  当然,我还是建议关闭错误提示。

  (11) 错误日志

  建议在关闭display_errors后能够把错误信息记录下来,便于查找服务器运行的原因:

  log_errors =
On  同时也要设置错误日志存放的目录,建议根apache的日志存在一起:

  error_log =
D:/usr/local/apache2/logs/php_error.log  注意:给文件必须允许apache用户的和组具有写的权限。

相关文章