PHP彩蛋信息介绍和阻止泄漏的方法（隐藏功能）_php技巧

Easter Eggs(复活节彩蛋)外行人估计不了解这是神木玩意，彩蛋的网络解释是:用于电脑、电子游戏、电脑游戏、影碟或其他互动多媒体之中的隐藏功能或信息。PHP包含一个安全漏洞，可能导致未经授权的信息披露,如果你正在运行PHP，就有可能会被人发现PHP版本和其他敏感信息。我觉得有必要解决这个彩蛋问题来确保你网站的安全性。

PHP彩蛋是如何运作的

只要运行PHP的服务器上，访问任何网页都可以在域名后添加以下字符串来查看信息:

复制代码 代码如下:

?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000 (PHP信息列表)
?=PHPE9568F34-D428-11d2-A769-00AA001ACF42 (PHP的LOGO)
?=PHPE9568F35-D428-11d2-A769-00AA001ACF42 (Zend LOGO)
?=PHPE9568F36-D428-11d2-A769-00AA001ACF42 (PHP LOGO 蓝色大象)

当然，如果漏洞存在才可以通过以上来查看到信息，现在一般网站都已经屏蔽了。但如果存在说明其expose_php是启用状态，PHP将生成页面发送出PHP版本信息，这样一些”坏人”就知道了你的版本号来利用已知的版本漏洞来进行攻击。

如何阻止彩蛋

一般情况下如果你的服务器支持编辑php.ini文件，我们可以把php.ini里的expose_php设为Off就可以屏蔽了。如果你不能操作php.ini文件，也可以通过设置.htaccess来进行屏蔽。

复制代码 代码如下:

RewriteCond %{QUERY_STRING} \=PHP[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12} [NC]
RewriteRule .* - [F]

通过以上两种方法，我们可以屏蔽一些PHP信息，一些服务器默认设置expose_php是开启的，所以来看我这篇文章的朋友们最好是把它关闭了。

Really appreciate it Jeff Starr‘s post expose_php, Easter Eggs, and .htaccess.

示例：

复制代码 代码如下:

http://wowo.haotui.com/space.php?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000
http://en.wikipedia.org/w/index.php?=PHPE9568F34-D428-11d2-A769-00AA001ACF42
http://www.zend.com/en/index.php?=PHPE9568F35-D428-11d2-A769-00AA001ACF42

时间： 2024-09-11 04:36:12

PHP彩蛋信息介绍和阻止泄漏的方法（隐藏功能）_php技巧的相关文章

PHP中全面阻止SQL注入式攻击分析小结_php技巧

一. 引言 PHP是一种力量强大但相当容易学习的服务器端脚本语言,即使是经验不多的程序员也能够使用它来创建复杂的动态的web站点.然而,它在实现因特网服务的秘密和安全方面却常常存在许多困难.在本系列文章中,我们将向读者介绍进行web开发所必需的安全背景以及PHP特定的知识和代码-你可以借以保护你自己的web应用程序的安全性和一致性.首先,我们简单地回顾一下服务器安全问题-展示你如何存取一个共享宿主环境下的私人信息,使开发者脱离开生产服务器,维持最新的软件,提供加密的频道,并且控制对你的系统的存取

php+MySql实现登录系统与输出浏览者信息功能_php技巧

本系统,与之前在<ASP 连接Access数据库的登陆系统>(点击打开链接)一文中的asp登录系统的思想完全一样,只是编程语言从asp变成了php,数据库从Access变成了mysql. 一.基本目标 首先在mysql存在着如下的用户信息表: 在页面中有一个登录表单,上面需要用户填写用户名与密码等信息 如果用户输入的用户名在用户信息表里面根本就没有,那么则弹出"查无此人"的对话框,并返回本页 如果用户输入的密码错误,那么则弹出"密码错误"的对话框,并返回

PhotoShop如何查看彩蛋？

  在我们常用的软件当中隐藏了一些小东东,这些小东东我们称之为复活节彩蛋(Easter Eggs).复活节彩蛋的内容包含得很广,从单纯地列出开发人员名单到3D影音游戏都有.我们常用的软件如Windows.Word和Excel以及我们用来上网的浏览器IE中都有这样的彩蛋. 在软件的"帮助"或"关于"中,一般都找不到这个软件开发组的名单,如项目经理.程序员.测试员等.难道开发者们想隐姓埋名吗?当然不是!这是由于许多软件公司的规定就是如此.不过开发者们很聪明,他们以另外的

利用“PHP彩蛋”进行敏感信息获取

关于"PHP彩蛋"的说法也许很多老PHPer已经都知道或听说了,好像是早在PHP4版本的时候就有彩蛋了,挺好玩儿的,可能近年来逐渐被人们遗忘了,其实彩蛋功能在PHP脚本引擎默认情况下是开启. 写个phpinfo();然后访问,再加上以下的GET值即可查阅 下面就用Discuz官方论坛做一下测试: http://www.discuz.net/?=PHPE9568F34-D428-11d2-A769-00AA001ACF42 http://www.discuz.net/?=PHPE9568

如何使用“PHP” 彩蛋进行敏感信息获取_php技巧

关于"PHP彩蛋"的说法也许很多老PHPer已经都知道或听说了,好像是早在PHP4版本的时候就有彩蛋了,挺好玩儿的,可能近年来逐渐被人们遗忘了,其实彩蛋功能在PHP脚本引擎默认情况下是开启. 写个phpinfo();然后访问,再加上以下的GET值即可查阅下面就用Discuz官方论坛做一下测试:http://www.discuz.net/?=PHPE9568F34-D428-11d2-A769-00AA001ACF42http://www.discuz.net/?=PHPE9568F35

介绍Dreamweaver cs3 两个彩蛋

dreamweaver 随着ADOBE CS3系列产品的亮相,我们最关注的Dreamweaver CS3也获得了最新的消息. 首先先来看看传统的Dreamweaver彩蛋是否还在. 第一个Dreamweaver彩蛋就是: 1,在网页中插入一张图像: 2,打开属性面板,在图像的缩略图上双击鼠标+Ctrl键 这里看到的头像即为开发Dreamweaver的相关人员. 第二个Dreamweaver彩蛋就是: 1,打开属性面板,在颜色文本框中输入文本"dreamweaver",回车确认 2,在D

介绍Dreamweaver cs3两个彩蛋

随着ADOBE CS3系列产品的亮相,我们最关注的Dreamweaver CS3也获得了最新的消息. 首先先来看看传统的Dreamweaver彩蛋是否还在. 第一个Dreamweaver彩蛋就是: 1,在网页中插入一张图像: 2,打开属性面板,在图像的缩略图上双击鼠标+Ctrl键 这里看到的头像即为开发Dreamweaver的相关人员. 第二个Dreamweaver彩蛋就是: 1,打开属性面板,在颜色文本框中输入文本"dreamweaver",回车确认 2,在Dreamweaver窗口

隐藏的彩蛋 让戴尔入门级存储焕发无限可能

   在上一篇<戴尔SCv2000:入门级存储价值新说>中,我们提到了"SCv2000还有一个'隐藏的彩蛋',并且是同级产品所不具备的".砸开这枚彩蛋,用户将在此入门级存储阵列之上获得更强大的I/O扩展能力. 而本文的标题已经说出了这个答案--2个可激活的10GbE iSCSI主机接口,那么它到底是以什么方式存在的呢? 三款机箱入门级存储的高性能平台在砸开彩蛋之前,我们先来看看它所藏身的平台.下面是要为大家展示的SCv2000系列三款子型号的外观,分别是:2U 12个3.5

XP风格复活节彩蛋的实现

如果您用过微软Office系列产品的话,一定会知道它们中很多在"关于"对话框中都隐藏了一些小功能,只有当用户点击某些特殊的键盘或鼠标按键时,这些功能才会显示出来(就象复活节彩蛋似的变出来).您象知道类似的功能是怎么实现的么?下面,我做了个示例程序,可以告诉您它们实现的基本原理(示例中采用了整套XP风格化的界面设计).如下图:其中图一为XP风格界面,图二为类似复活节彩蛋的实现界面. 图一 图二 基本构成思想: 实现原理很简单,初始时将隐藏的部分不显示出来(既限制对话框的高度,默认高度=总