客服电话
APP下载
迪恩网络APP
随时随地掌握行业动态
官方微信
扫描二维码
关注迪恩网络微信公众号
|
在以前的防止跨站攻击的时候，使用了验证提交的页面是否是同一个站点，这样可以防止普通的攻击，ereg("blog.qita.in",$_SERVER['HTTP_REFERER']) 不过也不是很安全的,因为攻击者可以伪造HTTP Referer，如 header("Referer: blog.qita.in"); 或者在恶意脚本中伪造HTTP头
由于HTTP Referer是由客户端浏览器发送的，而不是由服务器控制的，因此你不应当将该变量作为一个信任源。
当然登录的时候可以使用验证码来解决，不过其他很多表单提交还是不适宜。
下面给出一个防止伪造表单提交的方案，还解决了同一个站点不同页面的非法调用！
//--------------- 代码 -------------//
session_start();
#随机取6位的散列值
function gen_token() {
$hash = md5(uniqid(rand(), true));
$n = rand(1, 26);
$token = substr($hash, $n, 6);
return $token;
}
function ck_form(){
if (_POST('qm_token')=='' || _SESSION('token')=='' || _POST('qm_token') != _SESSION('token')){
exit('请勿非法提交');
}
}
function token_input(){
$token = gen_token();
$_SESSION['token']= $token;
echo "<input type='hidden' name='qm_token' value='$token'/>";
}
//使用方法,注意先后顺序
if(_POST('add')!=''){
#提交表单的时候验证提交页面的合法性
ck_form();
正常CODE...
}
<form name="form1" action="" method="post">
<?php token_input();?>
其他HTML...
</form>
//------------ 代码结束 -------------//
原理：当不同的页面跨站或同站非法跨页提交表单的时候
跨站时获取的隐藏域和SESSION值都为空，可以判断是非法提交，因为合法页面的SESSION和隐藏域我赋了同样的散列值。
同站时SESSION值和POST得到的隐藏域的值不会相同，所以也可以判断是非法提交。
NOTE:
function _POST($str){
$val = !empty($_POST[$str]) ? $_POST[$str] : null;
return $val;
}
function _GET($str){
$val = !empty($_GET[$str]) ? $_GET[$str] : null;
return $val;
}
function _SESSION($str){
$val = !empty($_SESSION[$str]) ? $_SESSION[$str] : null;
return $val;
}
|
2022-11-06
2022-08-17
2022-08-15
2022-08-17
2022-07-18
krishnaik06/Machine-Learning-in-90-days
A path traversal vulnerability exists within GoAnywhere MFT before 6.8.3 that ut
armancodv/building-energy-model-matlab: It is a small software which is develope
在美元的英文“dollar”里面明明没有字母“s”，为什么美元的符号($)是一条竖线穿过字
匹的笔顺是什么？匹的笔顺笔画顺序怎么写？还有匹的拼音及意思是什么，好多初学练字者
FGRibreau/import-tweets-to-mastodon: How to import tweets to mastodon (e.g. http
临床治痤疮常用3种方式，日常做好这2件事，也能拯救你的痤疮脸 痤疮也称为青春痘，是
tboronczyk/localization-middleware: PSR-15 middleware to assist primarily with l
长沙城南，有一所以“环保”为名的学校，从1979年创立以来，四易归属、五更其名。 这
heinrichreimer/material-intro: A simple material design app intro with cool anim
请发表评论