黑客通过提交值更改主页如何防止这种情况？答案

【问题标题】：Change in homepage by submit value by hackers how to prevent this?黑客通过提交值更改主页如何防止这种情况？
【发布时间】：2014-05-12 14:35:03
【问题描述】：

我正在尝试为我的学校制作一个网站，而我刚刚从基础开始到测试
我们网站的安全性，据观察，在从那里获取此输出的同时
如果我们输入 Name: ../ 和 Information : (any html code) 则它会更改该页面
到注入的那个html代码中。有什么解决方案可以防止这种情况问题让我有更高的安全性。HTML 代码是

<html>
<head>
<title>Submit your form</title>
</head>
<body bgcolor="Black" text="#FFFFFF" link="#FFF833" vlink="#FFF833">
<center><table width=600 cellspacing=0 cellpadding=0 align="center"><tr><td>
<font face="verdana" size=2><b>Use this form to submit your information to the website.<br /><Br>Note:Information will be stored online immediately but will not be listed on the main page until it has a chance to be looked at.<br /><br />
<form action="submit.php" method="post">Name:<br />
<input type="text" name="name">
<br /><br />Information<br /><textarea rows=15 cols=40 name="text"></textarea>
<br /><br /><input type="submit" value="add text"></form></font>
</b></td></tr></table>
</center>
</body>
</html>

【问题讨论】：

这完全取决于您如何保存此用户输入...
但是仍然有人可以只输入他自己的代码并更改我们的网站主页。
这完全取决于您如何保存此用户输入...

标签： html css security

【解决方案1】：

正如我已经说过两次，这完全取决于您如何保存此用户输入...等等，现在是三倍 XD

我猜你的代码是：

file_put_contents("submissions/".$_POST['name']."/index.html", $_POST['text']);

但如果$_POST['name'] 是../，那么您将他们的提交保存到submissions/..//index.html...换句话说，您正在覆盖网站的主页！通过允许$_POST['text'] 被丢弃在那里没有安全保障，任何人都可以为所欲为。

相反，您应该将这些提交的内容保存到数据库中，通过 ID 号引用它们，并使用 htmlspecialchars 之类的东西来防止输入的 HTML 被处理。

【讨论】：

你猜对了。实际上代码正在保存他们的提交。别担心，我只是想想，终于明白了。好吧，不用再说了，我终于明白了：Dthanx

【解决方案2】：

您需要为输入的每个字段添加一些过滤器，因为如果您不这样做，那么 XSS（跨站点脚本）的机会就会增加，因此无论您是从用户那里获取输入假设 usernamd 、 password 、 email-ids 等总是检查字段是否必须包含 html 标签，特别是 JAVA SCRIPT 标签。如果您允许输入带有 JAVA 脚本标签，则会发生会话劫持，因此请在午餐前检查最终域和主机上的所有内容。祝你好运

【讨论】：

说得好，我觉得这很有帮助，如果涉及到像 XSS 或任何 SQL 注入这样的黑客攻击，那么我必须确保从 javascript 或 php 中防止这种情况发生，为此我必须学习这些安全措施。
SQLi（sql 注入），XSS 是通过多种方式发现的共同攻击，就像 google dorks 与您的网站一样，您可以通过多种方式检查您的网站是否存在所有可能的攻击。有几种方法可以保护您可以在exploitdb.com 上找到的许多网站。
感谢该网站，我知道要查看我使用 acunetix 的任何网站的可能漏洞......如果安全性很好，我真的需要努力。