网站PHP常见漏洞的提防措施

　　1、对于Session漏洞的提防   A

　　夙昔面的分析可以知道，Session攻击最常见的就是会话劫持，也就是黑客通过各种攻击手段获取用户的Session ID，然后行使被攻击用户的身份来登录响应网站。为此，这里可以用以下几种方法进行提防:一是定期替换Session ID，替换Session ID可以用PHP自带函数来实现;二是替换Session名称，通常情况下Session的默认名称是PHPSESSID，这个变量一般是在cookie中保存的，假如更改了它的名称，就可以阻档黑客的部分攻击;三是对透明化的Session ID进行关闭处理，所谓透明化也就是指在http请求没有使用cookies来制订Session id时，Sessioin id使用链接来传递.关闭透明化Session ID可以通过操作PHP.ini文件来实现;四是通过URL传递隐藏参数，这样可以确保即使黑客获取了session数据，但是因为相关参数是隐藏的，它也很难获得Session ID变量值。

　　2、对SQL注入漏洞的提防

　　黑客进行SQL注入手段许多，而且天真多变，但是SQL注人的共同点就是行使输入过滤漏洞。因此，要想从根本上防止SQL注入，根本解决措施就是增强对请求饬令尤其是查询请求饬令的过滤。具体来说，包括以下几点:一是把过滤性语句进行参数化处理，也就是通过参数化语句实现用户信息的输入而不是直接把用户输入嵌入到语句中。二是在网站开发的时候尽可能少用诠释性程序，黑客经常通过这种手段来执行非法饬令;三是在网站开发时尽可能避免网站出现bug，否则黑客可能行使这些信息来攻击网站;仅仅通过防御SQL注入照旧不够的，另外还要经常使用专业的漏洞扫描工具对网站进行漏洞扫描。

　　3、对脚本执行漏洞的提防

　　黑客行使脚本执行漏洞进行攻击的手段是多种多样的，而且是天真多变的，对此，必须要采用多种提防方法综合的手段，才能有用防止黑客对脚本执行漏洞进行攻击。这里常用的方法方法有以下四种。一是对可执行文件的路径进行预先设定。可以通过safe_moade_exec_dir来实现;二是对饬令参数进行处理，一般用escapeshellarg函数实现;三是用系统自带的函数库来代替外部饬令;四是在操作的时候进可能削减使用外部饬令。

　　4、对全局变量漏洞提防

　　对于PHP全局变量的漏洞问题，以前的PHP版本存在这样的问题，但是随着PHP版本升级到5.5以后，可以通过对php.ini的设置来实现，设置ruquest_order为GPC。另外在php.ini配置文件中，可以通过对magic_quotes_runtime进行布尔值设置是否对外部引人的数据中的溢出字符加反斜线。为了确保网站程序在服务器的任何设置状况下都能运行。可以在整个程序开始的时候用get_magic_quotes_runtime检测设置状况决定是否要手工处理，或者在开始(或不需要主动转义的时候)用set_magic_quotes_runtime(0)关掉。

　　联系人:孟经理

址：山东省邹城市

电话：13639411999

邮箱956818