第31天:Web开发-PHP应用TP框架MVC模型路由访问模版渲染安全写法版本漏洞

#知识点

1、安全开发-框架技术-ThinkPHP

2、安全开发-框架安全-版本&写法

3、安全开发-ThinkPHP-代码审计案例

类别

组件/框架

说明

[Web框架]

Laravel

现代化、功能全面的框架,适合大多数Web应用。

Symfony

高度模块化、功能强大的框架,适合复杂应用。

CodeIgniter

轻量级框架,适合快速开发。

Zend Framework (Laminas)

企业级框架,适合大规模应用,具有高扩展性和性能。

Yii

高性能框架,适合快速开发和大规模应用。

[数据库组件]

Doctrine ORM

强大的ORM工具,支持复杂的查询和映射。

Eloquent ORM

Laravel内置ORM,简化数据库操作。

PDO

PHP的数据库抽象层,支持多种数据库引擎。

RedBeanPHP

轻量级ORM,自动创建和管理数据库表。

[模板引擎]

Twig

灵活、现代的模板引擎,常用于Symfony项目。

Blade

Laravel内置模板引擎,支持模板继承和控制结构。

Smarty

经典模板引擎,适合中大型项目。

Mustache

轻量级跨语言模板引擎,支持PHP、JavaScript等。

[路由组件]

FastRoute

高性能PHP路由库,适用于小型应用和API。

AltoRouter

轻量级路由库,适合小型项目,易于配置。

Symfony Routing

Symfony的路由组件,适合复杂应用。

[认证与授权]

OAuth2 Server PHP

实现OAuth2协议的PHP库,适用于API认证。

JWT (JSON Web Token)

轻量级身份验证方案,适合API认证。

PHP-Auth

简单的用户认证库,适用于中小型Web应用。

[支付集成]

Stripe PHP SDK

集成Stripe支付功能,支持信用卡支付、订阅等。

PayPal SDK for PHP

集成PayPal支付功能,支持支付、退款等。

[邮件发送]

PHPMailer

功能强大的邮件发送库,支持SMTP、POP3等协议。

SwiftMailer

另一款流行的邮件发送库,支持多种邮件功能。

Mailgun PHP SDK

Mailgun的官方SDK,用于通过Mailgun API发送邮件。

[文件管理]

Flysystem

文件存储抽象库,支持多种存储方式(如本地、Amazon S3、FTP等)。

Symfony Filesystem

Symfony的文件系统组件,提供简单的文件操作API。

Intervention Image

图片处理库,支持裁剪、调整大小、水印等功能。

[缓存与性能]

Redis

内存数据存储系统,用于缓存、消息队列等,提升性能。

Memcached

内存缓存系统,适用于高并发应用。

Symfony Cache

Symfony缓存组件,支持多种缓存后端。

Laravel Cache

Laravel内置缓存系统,提升Web应用性能。

[日志管理]

Monolog

强大的日志库,支持多种日志渠道(如文件、数据库、邮件等)。

Log4PHP

Apache Log4j的PHP实现,适用于复杂日志功能。

[任务队列]

Laravel Queue

Laravel内置队列系统,支持延迟任务、异步处理。

Resque

基于Redis的任务队列库,适用于异步任务处理。

RabbitMQ

开源消息代理服务,用于任务调度和消息传递。

[WebSocket与实时通信]

Ratchet

用于实现WebSocket服务,适合在线聊天、实时通信。

Swoole

高性能协程框架,支持WebSocket、TCP、UDP等协议,适用于高并发实时应用。

[测试与调试]

PHPUnit

PHP标准单元测试框架,广泛用于自动化测试。

Xdebug

PHP调试工具,支持堆栈跟踪、性能分析、断点调试等功能。

[富文本编辑器]

KindEditor

一个轻量级且功能丰富的富文本编辑器,支持图片上传、插入视频等,适用于PHP开发的Web项目。

TinyMCE

开源的富文本编辑器,支持多种格式的文本编辑,插件丰富,易于集成。

CKEditor

高度可定制的富文本编辑器,支持图片、文件上传、富文本格式化等功能,广泛用于Web项目中。

Froala Editor

轻量级、现代的富文本编辑器,支持图像处理、视频嵌入、内嵌富文本等,适合复杂的Web应用。

Quill

开源富文本编辑器,功能强大、轻量级,支持图片、视频、格式设置等功能,适合单页面应用。

Summernote

基于jQuery的轻量级富文本编辑器,支持文本格式化、图片上传等,适合中小型Web项目。

Trumbowyg

轻量级的富文本编辑器,功能简单但支持基本的文本编辑、图片上传、视频插入等。

Redactor

现代的富文本编辑器,功能丰富,支持图片、文件上传等,适合多种Web应用。

[图片上传组件]

Dropzone.js

支持拖拽上传和多文件上传的JavaScript库,易于与PHP集成,常用于图片、文件上传功能。

FilePond

高度可定制的文件上传库,支持图片预览、验证、上传进度等,适合需要精美上传功能的Web项目。

Fine Uploader

支持多种文件上传方式的组件,支持多文件上传、拖拽上传,支持PHP处理后台。

Plupload

支持多种文件上传方式(包括HTML5和Flash),可以与PHP后台集成,广泛用于Web应用中。

[图片处理组件]

ImageMagick

强大的图像处理库,支持图像格式转换、剪裁、旋转、加水印等多种功能,适用于PHP处理图像。

GD Library

PHP内置图像处理库,支持图像创建、缩放、裁剪、色调调整等功能。

Intervention Image

PHP图像处理库,支持裁剪、缩放、加水印等,易于与Laravel集成。

一、TP(thinkphp)框架-开发技术

参考:https://www.kancloud.cn/manual/thinkphp5/118003(thinkphp开发手册,学习此框架的语法)

前言了解MVC:

1、配置架构-导入使用

入口配置,数据库配置,调试开关等

2、路由访问-URL访问

URL访问模式,文件目录对应关系等

路由访问:

法一:http://192.168.1.2:92/index.php/admin/index/test?id=123124

可以通过此url地址,推断对应的文件目录为admin,方法为test,也可根据此特征,判断使用了MVC路由访问;

法二:http://192.168.1.2:92/index.php?s=admin/index/test

可以通过此url地址,推断对应的文件目录为admin,方法为test,也可根据此特征,判断使用了MVC路由访问;

3、请求变量-数据接受

请求对象,提交方法,助手函数等

4、数据库操作-应用对象

引用DB类,基本查询,助手函数等

数据库查询语句

5、前端页面渲染-MVC模型(Model模板+View视图+Control控制器)

引擎配置,渲染变量,模版输出等

二、TP框架-写法安全

1、thinkphp代码写法逻辑

例子1:自己不合规的代码写法

例子2:一半框架一半自写代码

例子3:框架标准内置代码写法

2、框架版本安全

https://github.com/Mochazz/ThinkPHP-Vuln

例子1:写法内置安全绕过-TP5-SQL注入

纯内置写法虽然没有常规的sql注入漏洞,但是也存在注入漏洞

例子2:内置版本安全漏洞-TP5-代码执行

如5.0.15版本和5.0.22版本存在的漏洞不一样

三、TP框架-代审案例:

WeMall-TP5框架开发(源码来源->站长之家)

补:

1、框架安全代码审计思路:

①学会框架的开发手册->即框架语法怎么写的->目标:看得懂框架代码

②在使用框架开发时->代码的写法(纯自己写的代码+一半自己写的代码/一半框架的写法+纯框架语法写法)->代码审计时,不同的代码写法会产生漏洞点

③如果是纯框架语法写法->判断/查询框架的版本->找该版本的历史漏洞->a、版本通杀直接利用即可+b、有点框架漏洞存在于框架的具体代码使用位置

2、简单挖掘框架漏洞的思路

判断是什么框架->框架版本->历史漏洞->直接利用

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:/a/950110.html

如若内容造成侵权/违法违规/事实不符,请联系我们进行投诉反馈qq邮箱809451989@qq.com,一经查实,立即删除!

相关文章

量子计算遇上人工智能:突破算力瓶颈的关键?

引言:量子计算遇上人工智能——突破算力瓶颈的关键? 在数字化时代的浪潮中,人工智能(AI)正以前所未有的速度改变着我们的生活,从语音助手到自动驾驶,从医学诊断到金融分析,无不彰显其…

英伟达 RTX 5090 显卡赋能医疗大模型:变革、挑战与展望

一、英伟达 RTX 5090 与 RTX 4090 技术参数对比 1.1 核心架构与制程工艺 在探讨英伟达 RTX 4090 与 RTX 5090 的差异时,核心架构与制程工艺无疑是最为关键的基础要素,它们从根本上决定了两款显卡的性能上限与应用潜力。 1.1.1 核心架构差异 RTX 4090…

Bash Shell的操作环境

目录 1、路径与指令搜寻顺序 2、bash的进站(开机)与欢迎信息:/etc/issue,/etc/motd (1)/etc/issue (2)/etc/motd 3、bash的环境配置文件 (1)login与non-…

homework 2025.01.07 math 6

1选择部分 二填空部分

(六)CAN总线通讯

文章目录 CAN总线回环测试第一种基于板载CAN测试第一步确认板载是否支持第二步关闭 CAN 接口将 CAN 接口置于非活动状态第三步 配置 CAN 接口第一步 设置 CAN 接口比特率第二步 设置 CAN 启用回环模式第三步 启用 CAN 接口 第四步 测试CAN总线回环捕获 CAN 消息发送 CAN 消息 第…

任务调度之Quartz(二):Quartz体系结构

1、Quartz 体系结构 由上一篇的Quartz基本使用可以发现,Quartz 主要包含一下几种角色: 1)Job:也可以认为是JobDtetail,表示具体的调度任务 2)Trigger:触发器,用于定义任务Job出发执行…

基于Springboot + vue实现的小型养老院管理系统

🥂(❁◡❁)您的点赞👍➕评论📝➕收藏⭐是作者创作的最大动力🤞 💖📕🎉🔥 支持我:点赞👍收藏⭐️留言📝欢迎留言讨论 🔥🔥&…

初学Linux电源管理

学习文档出处: 万字整理 | 深入理解Linux电源管理:万字整理 | 深入理解Linux电源管理-CSDN博客 电源管理 因为设备需要用电,而且设备中的各个硬件所需要的电压是不一样的。故计算机需要对硬件的电源状态管理。但是电能并不是免费的&#x…

React(二)——Admin主页/Orders页面/Category页面

文章目录 项目地址一、侧边栏1.1 具体实现 二、Header2.1 实现 三、Orders页面3.1 分页和搜索3.2 点击箭头显示商家所有订单3.3 页码按钮以及分页 四、Category页面4.1 左侧商品添加栏目4.2 右侧商品上传栏 五、Sellers页面六、Payment Request 页面(百万数据加载&a…

刚体变换矩阵的逆

刚体运动中的变换矩阵为: 求得变换矩阵的逆矩阵为: opencv应用 cv::Mat R; cv::Mat t;R.t(), -R.t()*t

IDEA中Maven依赖包导入失败报红的潜在原因

在上网试了别人的八个问题总结之后依然没有解决&#xff1a; IDEA中Maven依赖包导入失败报红问题总结最有效8种解决方案_idea导入依赖还是报红-CSDN博客https://blog.csdn.net/qq_43705131/article/details/106165960 江郎才尽之后突然想到一个原因&#xff1a;<dep…

UVM:uvm_component methods configure

topic UVM component base class uvm_config_db 建议使用uvm_config_db代替uvm_resource_db uvm factory sv interface 建议&#xff1a;uvm_config_db 以下了解 建议打印error

基于时间维度水平拆分的多 TiDB 集群统一数据路由/联邦查询技术的实践

导读 在大数据时代&#xff0c;金融行业面临着日益增长的数据量和复杂的查询需求&#xff0c;尤其是跨库、跨集群的场景。在这种背景下&#xff0c;如何在保证数据一致性、高可用性的同时&#xff0c;实现业务的快速扩展与高效查询&#xff0c;成为了企业数字化转型的关键挑战…

概率论 期末 笔记

第一章 随机事件及其概率 利用“四大公式”求事件概率 加法公式 减法 条件概率公式 全概率公式与贝叶斯公式 伯努利概型求概率 习题 推导 一维随机变量及其分布 离散型随机变量&#xff08;R.V&#xff09;求分布律 利用常见离散型分布求概率 连续型R.V相关计算 利用常见连续…

把vue项目或者vue组件发布成npm包或者打包成lib库文件本地使用

将vue项目发布成npm库文件&#xff0c;第三方通过npm依赖安装使用&#xff1b;使用最近公司接了一个项目&#xff0c;这个项目需要集成到第三方页面&#xff0c;在第三方页面点击项目名称&#xff0c;页面变成我们的项目页面&#xff1b;要求以npm库文件提供给他们&#xff1b;…

《空舞的巨兽》官方学习版

一个以被遗忘之地为背景的原创故事&#xff0c;这是一个充满悲剧的没落王国。扮演外地战士雷恩猎人&#xff08;玩家&#xff09;&#xff0c;踏上危险的任务&#xff0c;结束困扰你自己和村庄的诅咒。你唯一的希望就是杀死不可杀死的可怕巨兽。 《空舞的巨兽》官方版 https:/…

go-zero框架快速入门

文章目录 go-zero 简介安装goctl安装go-zero启动go-zero API语言定义结构体API定义路由API格式化对齐 生成代码生成基本逻辑代码生成数据库model文件 go-zero 简介 go-zero 是一个集成了各种工程实践的 web 和 rpc 框架。通过弹性设计保障了大并发服务端的稳定性&#xff0c;经…

切忌 SELECT *,就算表只有一列

原文地址 尽量避免 SELECT *&#xff0c;即使在单列表上也是如此 – 如果你现在不同意这一点&#xff0c;读完这篇文章&#xff0c;你可能就要动摇了。 2012年的一个故事 这是我 12 年前&#xff08;约 2012-2013 年&#xff09;在客户后台应用程序中遇到的一个真实故事。 当…

了解RabbitMQ中的Exchange:深入解析与实践应用

在分布式系统设计中&#xff0c;消息队列&#xff08;Message Queue&#xff09;扮演着至关重要的角色&#xff0c;而RabbitMQ作为开源消息代理软件的佼佼者&#xff0c;以其高性能、高可用性和丰富的功能特性&#xff0c;成为了众多开发者的首选。在RabbitMQ的核心组件中&…