2、跨网站脚本攻击(Cross Site Scripting, XSS)

3、SQL注入攻击(SQL injection)

4、跨网站要求假造攻击(Cross Site Request Forgeries, CSRF)

php网站攻击PHP网站平安｜常见的网站进击方法汇总 HTML

5、文件上传漏洞(File Upload Attack)

6、表单重复提交

7、HTTP要求欺骗攻击(Spoofed HTTP Requests)

8、PHP安全配置

这里说一下PHP中的关于攻防操持的一些配置入手的点

关闭危险函数

如果打开了安全模式，那么函数禁止是可以不须要的，但是我们为了安全还是考虑进去。
比如，

我们以为不肯望实行包括system()等在那的能够实行命令的php函数，或者能够查看php信息的

phpinfo()等函数，那么我们就可以禁止它们：

disable_functions = system,passthru,exec,shell_exec,popen,phpinfo

如果你要禁止任何文件和目录的操作，那么可以关闭很多文件操作

disable_functions = chdir,chroot,dir,getcwd,opendir,readdir,scandir,fopen,unlink,delete,copy,mkdir, rmdir,rename,file,file_get_contents,fputs,fwrite,chgrp,chmod,chown

以上只是列了部分不叫常用的文件处理函数，你也可以把上面实行命令函数和这个函数结合，

就能够抵制大部分的phpshell了。

缺点信息掌握

一样平常php在没有连接到数据库或者其他情形下会有提示缺点，一样平常缺点信息中会包含php脚本当

前的路径信息或者查询的SQL语句等信息，这类信息供应给黑客后，是不屈安的，以是一样平常做事器建议禁止缺点提示：

display_errors = Off

如果你却是是要显示缺点信息，一定要设置显示缺点的级别，比如只显示警告以上的信息：

error_reporting = E_WARNING & E_ERROR

掌握php脚本能访问的目录

利用open_basedir选项能够掌握PHP脚本只能访问指定的目录，这样能够避免PHP脚本访问

不应该访问的文件，一定程度上限定了phpshell的危害，我们一样平常可以设置为只能访问网站目录：

open_basedir = /dir/user/