博主在疫情后的一次闲暇中，发现了学校网站上一个未被注意的PHP连接数据库的入口。通过查看文件和解密密码，揭示了教育系统数据安全的潜在风险。文章强调了禁用危险函数、加强密码加密以及正确存放备份文件的重要性，并推荐使用Docker运行代码以提升安全性。此外，还介绍了开源的在线答题系统Judge0作为安全执行代码的解决方案。
后续
疫情过后开学，在校的某个周末…晚上又闲的没事干。又打开了老师的网站，这次仔细看了一遍目录…突然看到一个连接数据库的php。
写了段查看文件的代码，来看看
！！！去phpmyadmin登录看看。。
发现数据库还有其他站点的数据，一看全是教师0.0，去某网站解密了一下密码，发现是sha1加密…（sha1很多都已经被字典破解了）
最后又找到了后台以及考试系统的备份压缩包…
用eval运行他人代码，非常危险。我个人觉得利用docker运行代码比较安全，网上查了一下，发现已经有开源的答题系统 Judge0
https://my.oschina.net/suncf/blog/4257003
菜鸟教程用的就是Judge0
总结
1.禁用 phpinfo,fopen ,opendir,system等危险函数,配置open_basedir
2.对用户密码加盐再进行加密
3.不要把备份等重要文件放置在www目录
扫一扫
10万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
