http header injection

原帖由 bluecloud08 于 2009-9-16 04:53 PM 发表


你所谓的严格控管是什么, 可以给点例子吗? 谢谢!

原帖由 vampcheah 于 2009-9-16 06:47 PM 发表

但是LZ 讲的是 _SERVER 里的东西。
在我印象中好像没有试过类似的例子。
番茄老大，可以教两招吗？

_COOKIE 不是用户本身电脑的缓存吗？应该不会导致什么严重的事项吧。
除非系统是用 cookie 来做autho ...

原帖由 Super-Tomato 于 2009-9-16 07:20 PM 发表


例如使用 Cookies 的時候最好先做好加密
Post 的資料最好先 filter 避免夾帶 SQL 攻擊等

p/s: header 的方式可以參考這裡
http://www.w3school.com.cn/php/func_http_header.asp

原帖由 bluecloud08 于 2009-9-16 08:01 PM 发表


不好意思, 我有点乱了...其实, 在之前我根本不懂什么是 http header...后来, 网上找到一些资料就有一点概念了, 好像这个

http://www.devshed.com/c/a/PHP/HTTP-Headers-in-Web-Development/

其实, 我 ...

原帖由 Super-Tomato 于 2009-9-16 08:52 PM 发表


我那個網址不是說一定要用 header() 這個函數, 不同的 backend script 都有不同的寫法, 你要注意的是參數
就如我上面一帖中說到的瀏覽器 plugin 可以查看到瀏覽器所傳送的 header 參數和值, PHP 的 header ...

原帖由 bluecloud08 于 2009-9-16 09:08 PM 发表


哇, 好乱, 不明白...

那我该怎么做? 只要把 user input 都 filter 过就能预防 http header injection了吗?

原帖由 Super-Tomato 于 2009-9-16 09:12 PM 发表


user input 的話可以根據你剛才的網址中的方法過濾

原帖由 Super-Tomato 于 2009-9-16 07:29 PM 发表


使用 AJAX 提交的時候, 如果要檢查所傳送的數據等瀏覽器都會用些 plugin 來得知
當中就可以看到瀏覽器傳送了甚麼 header 資訊過去 Server 端, 而 PHP 就會取得這些資料並賦予到 $_SERVER 這個 global arra ...

原帖由 vampcheah 于 2009-9-16 10:58 PM 发表

这些我都会，只是_server 里要怎么入侵或 inject 系统？
_POST 或 _GET 的例子多不胜数，因为一般上系统都是需要执行。
但是 _SERVER 呢？ 有什么例子吗？