第一種session文件漏洞
session攻擊是黑客最常用到的攻擊手段之一。當一個用戶訪問漏一個網(wǎng)站時，為了免用戶每進入一個頁面都要輸入賬號和密碼，php設(shè)置了session和cookie用于方便用戶的使用和訪問。
對于session漏洞的防范
從我剛剛說session漏洞的時候可以知道，session攻擊最常見的就是會話劫持，也就是黑客通過各種攻擊手段獲取用戶的session
id ，然后利用被攻擊用戶的身份來登陸相應(yīng)網(wǎng)。為此 這里可以用到 定期更換session
ID，或者是更換session名稱，還有就是透明化的session
id進行關(guān)閉處理，所謂透明化也就是在http請求沒用使用cookies來制定sessionid時，session
id使用連接來傳遞，關(guān)閉透明化sessionid。 或是通過url傳遞隱藏參數(shù)。
第二種是sql注入漏洞
解決方法有四種，分別是
1. 定期更換session id
2. 更換session名稱
3. 對透明化session id 進行關(guān)閉處理
4. 通過url傳遞隱藏參數(shù)
在進行網(wǎng)站開發(fā)的時候，我們由于對于用戶輸入數(shù)據(jù)缺乏全面判斷或者過濾不嚴導(dǎo)致服務(wù)器執(zhí)行一些惡意信息，比如用戶信息查詢等。黑客可以根據(jù)惡意程序返回的結(jié)果獲取相應(yīng)的信息。這就是sql注入漏洞。
對于sql注入的漏洞防范
黑客進行sql注入手段很多，而且靈活多變，但是sql注入的共同點就是利用輸入過濾漏洞，所以，要想從根本上防止sql注入，根本解決措施就是加強對請求命令尤其是查詢請求命令的過濾。
解決方法：把過濾性語句進行參數(shù)化處理
在網(wǎng)站開發(fā)的時候盡可能少用解釋性程序
在網(wǎng)站開始時盡可能避免網(wǎng)站出現(xiàn)bug
使用正則表達式過濾傳入的參數(shù)
字符串過濾
調(diào)用函數(shù)檢查是否包含非法字符
Jsp頁面判斷代碼
第三種是腳本執(zhí)行漏洞
腳本執(zhí)行漏洞常見的原因是由于我們在開發(fā)網(wǎng)站時對用戶提交的URL參數(shù)過濾較少引起的，用戶提交的URL可能包含惡意代碼導(dǎo)致跨站腳本攻擊。腳本執(zhí)行漏洞在以前的php網(wǎng)站中經(jīng)常存在，但是隨著咱們php版本的升級 這些問題已經(jīng)減少了和一部分已經(jīng)不存在了。
對腳本執(zhí)行漏洞的防范
黑客利用腳本限執(zhí)行漏洞進行攻擊的手段是多種多樣的，而且是靈活多變的,對此 必須要采用多種防范方式綜合的手段，才能有效防止黑客對腳本執(zhí)行漏洞進行攻擊。這里常用的方法有四種：
對可執(zhí)行文件的路徑進行預(yù)先設(shè)定
對命令參數(shù)進行處理
用系統(tǒng)自帶的函數(shù)庫來代替外部命令
在數(shù)據(jù)庫的時候盡可能減少使用外部命令
第四種是全局變量漏洞
Php中的去變量會在使用的時候不像其他開發(fā)語言那樣需要先生，php中的變量可以不經(jīng)過聲明就直接使用，使用的時候系統(tǒng)自動創(chuàng)建，而且也不需要對變量類型進行說明，系統(tǒng)會自動根據(jù)上下文環(huán)境自動確定變量類型。這種方式可以大大減少程序員變成中出錯的概率，使用起來非常的方便。
對全部變量的漏洞防范
以前的版本確實存在這一的問題，但是隨著php版本的升級到5.5以后，可以通過對php.ini的設(shè)置來實現(xiàn)。
第五種文件漏洞
文件漏洞通常是由于網(wǎng)站開發(fā)者進行網(wǎng)站設(shè)計時對外部提供的數(shù)據(jù)缺乏充分的過濾導(dǎo)致黑客利用其中的漏洞在Web進程上執(zhí)行相應(yīng)的命令。
對文件漏洞的防范
對于php文件漏洞可以通過對服務(wù)器進行設(shè)置和配置來達到防范目的，這里具體的操作可以使用
把php代碼中的錯誤提示關(guān)閉，這樣可以避免黑客通過錯誤提示獲取數(shù)據(jù)庫信息和網(wǎng)頁文件物理路徑
對open_basedir盡心設(shè)置，也就是對目錄外的文件操作進行禁止處理
把safe-made設(shè)置為開啟狀態(tài)
