From : http://hudeyong926.iteye.com/blog/703074
<?php $field = explode(',', $data); array_walk($field, array($this, 'add_special_char')); $data = implode(',', $field); /** * 对字段两边加反引号,以保证数据库安全 * @param $value 数组值 */ public function add_special_char(&$value) { if('*' == $value || false !== strpos($value, '(') || false !== strpos($value, '.') || false !== strpos ( $value, '`')) { //不处理包含* 或者 使用了sql方法。 } else { $value = '`'.trim($value).'`'; } return $value; } function str_filter($str) { $str = htmlspecialchars ( $str ); if (! get_magic_quotes_gpc ()) { $str = addslashes ( $str ); } //过滤危险字符 return preg_replace ( "/[\"\'=]|(and)|(or)|(create)|(update)|(alter)|(delete)|(insert)|(load_file)|(outfile)|(count)|(%20)|(char)/i", "", $str ); } /* 函数名称:str_check() 函数作用:对提交的字符串进行过滤 参 数:$var: 要处理的字符串 返 回 值:返回过滤后的字符串 */ function str_check($str) { if (! get_magic_quotes_gpc ()) { // 判断magic_quotes_gpc是否打开 $str = addslashes ( $str ); // 进行过滤 } $str = str_replace ( "_", "\_", $str ); // 把 '_'过滤掉 $str = str_replace ( "%", "\%", $str ); // 把 '%'过滤掉 return $str; } /* 函数名称:post_check() 函数作用:对提交的编辑内容进行处理 参 数:$post: 要提交的内容 返 回 值:$post: 返回过滤后的内容 */ function post_check($post) { if (! get_magic_quotes_gpc ()) { // 判断magic_quotes_gpc是否为打开 $post = addslashes ( $post ); // 进行magic_quotes_gpc没有打开的情况对提交数据的过滤 } $post = str_replace ( "_", "\_", $post ); // 把 '_'过滤掉 $post = str_replace ( "%", "\%", $post ); // 把 '%'过滤掉 $post = nl2br ( $post ); // 回车转换 $post = htmlspecialchars ( $post ); // html标记转换 return $post; } /* 函数名称:inject_check() 函数作用:检测提交的值是不是含有SQL注射的字符,防止注射,保护服务器安全 参 数:$sql_str: 提交的变量 返 回 值:返回检测结果,ture or false */ function inject_check($sql_str) { return eregi('select|insert|and|or|update|delete|\'|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile', $sql_str); // 进行过滤 } /* 函数名称:verify_id() 函数作用:校验提交的ID类值是否合法 参 数:$id: 提交的ID值 返 回 值:返回处理后的ID */ function verify_id($id=null) { if (!$id) { exit('没有提交参数!'); } // 是否为空判断 elseif (inject_check($id)) { exit('提交的参数非法!'); } // 注射判断 elseif (!is_numeric($id)) { exit('提交的参数非法!'); } // 数字判断 $id = intval($id); // 整型化 return $id; } // $rptype = 0 表示仅替换 html标记 // $rptype = 1 表示替换 html标记同时去除连续空白字符 // $rptype = 2 表示替换 html标记同时去除所有空白字符 // $rptype = -1 表示仅替换 html危险的标记 function HtmlReplace($str, $rptype = 0) { $str = stripslashes ( $str ); if ($rptype == 0) { $str = htmlspecialchars ( $str ); } else if ($rptype == 1) { $str = htmlspecialchars ( $str ); $str = str_replace ( " ", ' ', $str ); $str = ereg_replace ( "[\r\n\t ]{1,}", ' ', $str ); } else if ($rptype == 2) { $str = htmlspecialchars ( $str ); $str = str_replace ( " ", '', $str ); $str = ereg_replace ( "[\r\n\t ]", '', $str ); } else { $str = ereg_replace ( "[\r\n\t ]{1,}", ' ', $str ); $str = eregi_replace ( 'script', 'script', $str ); $str = eregi_replace ( "<[/]{0,1}(link|meta|ifr|fra)[^>]*>", '', $str ); } return addslashes ( $str ); } //递归ddslashes function daddslashes($string, $force = 0, $strip = FALSE) { if (! get_magic_quotes_gpc () || $force) { if (is_array ( $string )) { foreach ( $string as $key => $val ) { $string [$key] = daddslashes ( $val, $force ); } } else { $string = addslashes ( $strip ? stripslashes ( $string ) : $string ); } } return $string; } //递归stripslashes function dstripslashes($string) { if (is_array ( $string )) { foreach ( $string as $key => $val ) { $string [$key] = $this->dstripslashes ( $val ); } } else { $string = stripslashes ( $string ); } return $string; } /** * 安全过滤函数 * @param $string 要过滤的字符串 * @return string 返回处理过的字符串 */ function safe_replace($string) { $string = str_replace('%20','',$string); $string = str_replace('%27','',$string); $string = str_replace('%2527','',$string); $string = str_replace('*','',$string); $string = str_replace('"','"',$string); $string = str_replace("'",'',$string); $string = str_replace('"','',$string); $string = str_replace(';','',$string); $string = str_replace('<','<',$string); $string = str_replace('>','>',$string); $string = str_replace("{",'',$string); $string = str_replace('}','',$string); return $string; } /** * 使用htmlspecialchars处理字符串或数组 * @param $obj 需要处理的字符串或数组 * @return mixed 返回经htmlspecialchars处理过的字符串或数组 */ function new_htmlspecialchars($string) { if(!is_array($string)) return htmlspecialchars($string); foreach($string as $key => $val) $string[$key] = new_htmlspecialchars($val); return $string; } //处理禁用HTML但允许换行的内容 function TrimMsg($msg) { $msg = trim ( stripslashes ( $msg ) ); $msg = nl2br ( htmlspecialchars ( $msg ) ); $msg = str_replace ( " ", " ", $msg ); return addslashes ( $msg ); }
相关推荐
就可以做到页面防注入、跨站 如果想整站防注,就在网站的一个公用文件中,如数据库链接文件config.inc.php中! 添加require_once('waf.php');来调用本代码 常用php系统添加文件 PHPCMS V9 \phpcms\base.php PHPWIND...
php通用防注入类
PHP 防注入防XSS攻击入口过滤
在注入大行其道的互联网,要保护好自己的网站不被别人恶意利用,是需要很多时间和精力,我把我自己最常用的php+mysql 防注入手段写下来,希望会对大家有点用处。
比较好用的PHP防注入漏洞过滤函数代码
就可以做到页面防注入、跨站 如果想整站防注,就在网站的一个公用文件中,如数据库链接文件config.inc.php中! 添加require_once('waf.php');来调用本代码 常用php系统添加文件 PHPCMS V9 \phpcms\base.php PHPWIND...
防SQL注入的php,通用防注入类
一个简单的PHP防注入类库,注意要过滤的信息基本是get,post,然后对于sql就是我们常用的查询,插入等等sql命令,就是我们要重点过滤的。
<?... /** * 参数处理类 * @author JasonWei ... foreach ($_GET as $key => $val) { ... $this->get[$key] = $this->getInt($val);...}这是一份很好用的PHP防注入类,需要的朋友可以下载使用
PHP通用防注入安全代码-修改可用、PHP通用防注入安全代码-修改可用、PHP通用防注入安全代码-修改可用
分享一个php防SQL注入的一个类,参数检查并写入日志,SQL注入日志。
/** * 参数处理类 * @author JasonWei */ class Params { public $get = array(); public $post = array();...}这是一份很好用的PHP防注入类,需要的朋友可以下载使用
360提供的php防注入代码。支持保存日志到服务器,使用简单方便。有记录攻击日志到文本文件的功能,强烈推荐使用。
360独家防注入跨站脚本攻击漏洞补丁php-asp-jsp
php防注入的两种方法
今天写代码的时候猛然想到是不能能够通过一个文件来处理整个网站中所有可能出现注入的地方进行防范呢?这样就能够不用在每个程序里对每个变量进行过滤,节省了时间和代码。 我们主要是从两点出发,因为我们的获取...
SQL注入基本概念,原理,防注入php代码以及 相关的图片实例,具体可下载查看。
360提供的防sql注入 php类库 直接在php文件开头加入include('360_safe3.php'),修正正则表达式,匹配更多的sql关键字
从360提供的PHP防SQL注入代码改成的一个类,从SQL注入和HTTP跨站两个方面入手,解决网站存在安全风险的问题,希望对朋友们有所帮助。
一个php防SQL注入的一个类,参数检查并写入日志,SQL注入日志。