博客
关于我
[NESTCTF 2019]Love Math 2
阅读量:790 次
发布时间:2019-03-25

本文共 507 字,大约阅读时间需要 1 分钟。

通过对提供的代码的分析 ,可以看到这是一个用于信息安全练习的PHP页面,主要目的是防止直接访问源码并限制输入的某些操作。以下是详细解析:

  • 源码隐藏和条件判断

    页面首先隐藏了源码并设置了一个条件判断,检查是否存在GET参数c,如果不存在则显示源码;否则继续执行后续逻辑。

  • 输入长度限制

    检查了GET参数c的长度,只允许不超过60个字符,超过则提示“太长了不会算”。

  • 字符黑名单

    定义了一系列需要禁止的字符,并使用正则表达式匹配这些字符,如果发现输入中含有这些字符,则提示“请不要输入奇奇怪怪的字符”。

  • 函数白名单

    提供了一个允许使用的数学函数列表,确保用户只能使用这些预定义的函数。如果输入了不在白名单内的函数,则提示“请不要输入奇奇怪怪的函数”。

  • 代码执行

    最后通过eval函数执行用户输入的内容,但这一步存在一定的漏洞,建议在生产环境中谨慎使用。

  • 总的来说,这是一个典型的Web应用安全练习页面,通过对输入的严格限制和白名单管理,确保了用户输入的安全性,防止了恶意输入导致的潜在危害。

    如果需要进一步改进,可以考虑增加更多的安全措施,比如对输入内容进行加密或解密、使用防CSRF Token等,以提高整体安全性。

    转载地址:http://wlouk.baihongyu.com/

    你可能感兴趣的文章
    Mysql 时间操作(当天,昨天,7天,30天,半年,全年,季度)
    查看>>
    MySQL 是如何加锁的?
    查看>>
    MySQL 是怎样运行的 - InnoDB数据页结构
    查看>>
    mysql 更新子表_mysql 在update中实现子查询的方式
    查看>>
    MySQL 有什么优点?
    查看>>
    mysql 权限整理记录
    查看>>
    mysql 权限登录问题:ERROR 1045 (28000): Access denied for user ‘root‘@‘localhost‘ (using password: YES)
    查看>>
    MYSQL 查看最大连接数和修改最大连接数
    查看>>
    MySQL 查看有哪些表
    查看>>
    mysql 查看锁_阿里/美团/字节面试官必问的Mysql锁机制,你真的明白吗
    查看>>
    MySql 查询以逗号分隔的字符串的方法(正则)
    查看>>
    MySQL 查询优化:提速查询效率的13大秘籍(避免使用SELECT 、分页查询的优化、合理使用连接、子查询的优化)(上)
    查看>>
    mysql 查询数据库所有表的字段信息
    查看>>
    【Java基础】什么是面向对象?
    查看>>
    mysql 查询,正数降序排序,负数升序排序
    查看>>
    MySQL 树形结构 根据指定节点 获取其下属的所有子节点(包含路径上的枝干节点和叶子节点)...
    查看>>
    mysql 死锁 Deadlock found when trying to get lock; try restarting transaction
    查看>>
    mysql 死锁(先delete 后insert)日志分析
    查看>>
    MySQL 死锁了,怎么办?
    查看>>
    MySQL 深度分页性能急剧下降,该如何优化?
    查看>>