文章关键字 ‘漏洞’

PHP：小心urldecode引发的SQL注入漏洞

2011年06月3日，星期五

Ihipop 学校的 Discuz X1.5 论坛被黑，在那里吵了一个下午。Google 一下“Discuz! X1-1.5 notify_credit.php Blind SQL injection exploit”，你就知道。

Discuz 是国内很流行的论坛系统，被黑的网站应该会很多吧。不过我对入侵别人的网站不感兴趣，同时也鄙视那些代码都不会写只会使用别人放出的工具攻击的所谓的“黑客”。

2010年12月1日，星期三

我不想危言耸听，先在你的环境下试试如下代码的运行结果吧：

<?php
$date = '2040-02-01';
$format = 'l d F Y H:i';
$mydate1 = strtotime($date);
echo '<p>', date($format, $mydate1), '</p>';
?>

如果一切正常的话，你会看到如下输出"Wednesday 1 February 2040 00:00″。如果你看到了一个60年代到70年代之间的日期，那说明你的PHP应用存在一个叫Y2K38的安全漏洞！