文章编号：2370 / 更新时间：2023-12-10 / 浏览：次

php语言无需编译，动态执行，我们不得不佩服它的开发效率。但正因为可以动态执行，才带来了类似一句话木马等安全问题。因为我们要十分警惕，否则，无论做的再好，都将“满盘皆输”。

首选，我们要先弄清楚，一句话木马是如何被植入到系统的，基本存在通过一下几种方式：

可以通过mysqlpdo的预处理来解决。

2、利用配置上传的漏洞

伪造一张图片，其实是可执行的代码，然后伪造一条地址，类似http://php.net/foo.jpg/a.php。当php.ini中cgi.fix_pathinfo=1时，PHPCGI以/为分隔符号从后向前依次检查如下路径，直到找个某个存在的文件，如果这个文件是个非法的文件，so…悲剧了~。所以对于使用php-fpm<0.6的务必关闭关闭该选项，设置cgi.fix_pathinfo=0。

就比如之前thinkphp暴露出来的一样，没有对controller进行正则判断，结果就被利用了，“黑客”利用该漏洞，传输一个函数名字，控制后台执行该函数，如果该该函数为file_put_contents,一句话木马：就很容易被植入到服务器上。剩下的就不用说了。

那么我们该怎么防范呢？其实无论我们有多小心，还是无法百分百确保安全。在这里我提供一种简单有效的方法供大家参考。

第一步，固定PHP的访问入口，网站唯一请求入口

如果是index.php,nginx的配置如下：

#只允许index入口location ~ .*/index\.(php)$ { }#其它php文件入口直接拒绝访问location ~* .*\.(php)$ { deny all;}

这样可以保证，就算一句话木马被植入了，它没有执行的机会。

第二步，修改入口文件的属性，保证入口文件不被篡改。

两步，既保证了入口文件不能被修改，又使木马文件失去了执行的机会。

相关标签： 木马、 sql注入、 网站安全、 蜘蛛技巧、 超级蜘蛛查、

本文地址：https://www.badfl.com/article/19f640f51ac6ddcb0dee.html

上一篇：网站建设banner设计窍门要点...
下一篇：网站改版不可怕要找专业的人来操作...