myphpnotes

csrf  ，cross site  request forgery  跨站点请求伪造很多时候用“token”方法来达到防御的效果。csrf的本质原因是 重要操作的所有参数都是可以被攻击者猜测到的 所以我们建立token来使得请求不能够被完全猜测到在这里 可以建立token类 ，eg  http://www.wikihow.com/Prevent-Cross-Site-Re

我的网络攻防小结，附攻击实例（随笔）

eval()针对php安全来说具有很大的杀伤力,一般不用的情况下,为了防止 这样的一句话木马,需要禁止掉的.网上好多说使用disable_functions禁止掉eval 是错误的其实eval() 是无法用php.ini中的disable_functions禁止掉的  because eval() is a language construct and not a function

xss的本质 html注入 xxs  cross site script1,反射性xss  No-persistent XXS2,存储型xxs   persisitent XXS3,Dom Based XSS   改变dom节点参加的xss payload  发起cookie劫持伪造post get我们可以做得防御1，绝大部分浏览器紧张js 访问Http