第25回 PHPのアキレス腱 ── セッション管理 | gihyo.jp
PHPにはHTTPセッション管理モジュールが標準で付いてきます。このセッションモジュールには非常に重大なセキュリティ上の脆弱性が修正されずに残っています。その脆弱性とはセッションアダプションです。 セッションアダプションとは、セッション固定化攻撃に利用される脆弱性です。PHPのセッション管理モジュールがセッションアダプションに脆弱であることは、かなり以前、何年も前から知られています。しかし、開発者の理解不足より脆弱性が放置されたままになっています。 セッションアダプションとは セッションアダプションとは、ブラウザ等から送信された未初期化セッションIDをそのまま利用してセッションを初期化してしまう脆弱性です。ユーザが送信してきたIDでも第三者に予想できない文字列であれば大丈夫なのでは？と考える方もいると思います。その通りで第三者に予想できなければ問題ないですし、仮に予想できてもログインする際
PHP</title> <meta name="Author" content="IDG"> <meta name="Creator" content="QuarkXPress: pictwpstops filter 1.0"> <meta name="Producer" content="Acrobat Distiller 7.0.5 for Macintosh"> <meta name="CreationDate" content=""> </head> <body> <pre> PHP for be
PHP for beginners PHP for beginners FastCGI for IISで気軽にスター できる ト 前編 「PHP」Hypertext Preprocesserの （ 略） は、動的なWebページを作成するた めのオープンソースのサーバサイ ドスクリ プ ト言語である。Linuxプラ ト ォ ム上 ッフ ー で、 オープンソースのWebサーバである 「Apache」 と組み合わせて利用されるこ とが多い。現在、 インターネ トにWebア ッ プリケ ーションを 公 開 する 場 合 は 、 ApacheとPHP、 らに、 さ オープンソース のRDBMSを組み合わせた環境が、 最も 自然でオー ド ク ソ ッ スな選択と言え る。 その一方で 、Windowsの インターネ 「 ッ トインフォメーションサービス （IIS）が、 」 PHPのプラッ
【PHP】Undefined offsetエラーの根絶: rikimaruのPG/SEしょーもない備忘録
例として下記の配列を用意します。 // 2と4は未定義(undefined) $arr = array( 1 => true, 3 => true, 5 => true ); この状態で、下記のようなループを回して文字出力すると 「Undefined offsetエラー」が出力されます。 $i=1; while($i Notice:Undefined offset : 2 in /hoge/hoge.php on line XX Notice:Undefined offset : 4 in /hoge/hoge.php on line XX Noticeは、処理は止まらない程度の重要度の低いエラーです。 しかし、大量のデータを扱う処理となると、PHPのエラーログ (たとえば：/apache/logs/php-error.log) の容量が増大して、ログ出力領域を圧迫
PHP 文字列を置換する | JUGEMの自作テンプレートを配布 Show-U
ほぼ知識ゼロでLinuxサーバーを構築して、Aapche、PHP、MySQLによるWEBサイトを作るまでの備忘録ブログ。JUGEMの自作テンプレートをカスタマイズして配布したりも。■文字列をstr_replace関数とstrtr関数を使って置換する <?php $moji = 'Hello! JUGEM Blog'; //str_replace関数で置換 $moji2 = str_replace('Hello', 'Welcome', $moji); //strtr関数で置換 $moji3 = strtr($moji, 'Hello', 'Welcome'); //出力 echo 'str_replace -> ' . $moji2 . '<br />'; echo 'strtr -> ' . $moji3 . '<br />'; ?>「出力結果」 str_repla
配列データに一気にhtmlspecialcharsをかける - phpspot
htmlspecialchars はタグをサニタイズしてくれる非常に便利な関数ですが、この関数は配列にかけることは出来ません。 そこで、array_mapです $array = array("<b>a</b>","<span>name</span>"); $array2 = array_map('htmlspecialchars', $array); (注意) このままでは問題があります。ページ下部を参照。 これにより、$array で渡されたデータに対してすべて htmlspecialchars をかけた配列を $array2 に入れることができます。 array_mapの引数に使えるのは htmlspecialchars だけでなく、自分で定義した関数なども適用できます。 htmlspecialchars では、普通に使った場合はシングルクオートをエスケープしてくれないので、次のように
【中級】情報漏洩を防ぐDBセキュリティ 最終回
画面1●SQLインジェクション用の攻撃ツール<BR>中国系サイトで出回っている攻撃ツールの一つ。 SQLインジェクションの脆弱性が存在するサイトの URLを入力すると，テーブル名やカラム名，実際のデータなどを容易に取得できてしまう 図10●なぜSQLインジェクションの脆弱性が生まれるのか？<BR>アプリケーションでSQL文を組み立てる仕組みの場合，Webブラウザで受け取ったデータから不正な文字を取り除くような仕組み（無害化）を実装していないと，予期しないSQL文を実行される恐れがある。これにより認証を不正に通過されたり，個人情報を不正に取得されたりする 図11●準備済みSQL文を使う<BR>準備済みSQL文を使うと， SQL文の検索条件部分を変数としてデータベースで解析しておき，変数に値をセットする。不正な文字を受け取ったとしても，SQL文が改ざんされる危険性はない。Java（JDBC），
プレイスホルダの扱いがちょっと楽になる＠PHP
DoRuby! (ドルビー!) は現場のエンジニアによる、主にRubyなどの技術に関する様々な実践ノウハウを集めた技術情報サイトです。 ■プレースホルダ SQL文作成時に、 実行時に値が決まる部分を「?」に置き換えて、「?」に当てはめたい値を変数とか配列で指定します。そうすると、SQLインジェクション対策のためのエスケープ処理を自動で行ってくれます。 ------------------------------------ $id = 6； $sql = select * from t_bbs where id = ?； query($sql, $id)； ------------------------------------ 「?」のところに「6」が入ります。 プレースホルダの使い方はこんな感じです。さくっといきます。 さて本題はここからですが、 プレースホルダは代入する数だ
ereg使っちゃいけません（ダメダメ♪ダメーッ） - てっく☆ゆきろぐ
FreeBSD、MacOSX、Webアプリ系、RDBMS(PostgreSQL)などの話題が中心になるかと思います。 まぁ、いままでereg多用しとったわけです。 ereg関数はPHP6.0でコアから消える予定【PHP】 - Programming Magic そんなわけでereg厨の俺涙目状態、なわけです。 というか、実はeregにはさらにヤバい問題がありまして。 23. 関数とバイナリセーフ - PHP TIPS：ITpro こちらの説明がわかりやすいので読んでいただければ、どういうことかは理解できると思います。 Cから入ってる人はひっかかりやすい部分だと思います。 とりあえず、実際にコードかいてみました。 <?php header( "Content-type: text/html ; charset=utf-8" ) ; ?> <HTML> <TITLE>TEST</TITLE>
mysql_real_escape_string - SQL 文中で用いる文字列の特殊文字をエスケープする
string mysql_real_escape_string ( string $unescaped_string [, resource $link_identifier = NULL ] ) 現在の接続の文字セットで unescaped_string の特殊文字をエスケープし、 mysql_query() で安全に利用できる形式に変換します。バイナリデータを挿入しようとしている場合、 必ずこの関数を利用しなければなりません。 mysql_real_escape_string() は、MySQL のライブラリ関数 mysql_real_escape_string をコールしています。 これは以下の文字について先頭にバックスラッシュを付加します。 \x00, \n, \r, \, ', " そして \x1a. データの安全性を確保するため、MySQL へクエリを送信する場合には （わずか
PHP講座＞簡易ブログ＞テンプレートの利用
前回に引き続き、書いた記事をHTMLで保存する機能を実装します。 ユーザーがフォームから記事を書いて送信 テンプレートファイルを読み込む 読み込んだテンプレートファイルに記事を挿入しHTMLファイルを生成する 今回はさらにテンプレートファイルを読み込んで、記事を埋め込む処理を行いましょう。 サンプルスクリプト new.htmlについては前回と同じです。 挿入・変更箇所は赤字で表示されています。 <html> <head> <title><%PAGETITLE></title> </head> <body> <h1><%PAGETITLE></h1> <h2>記事本文</h2> <%PAGECONTENTS> </body> </html> 文字コードはEUC-JPで保存してください。 <html> <head> <title>ブログ作成</title> <meta http-equiv="
「PHP使いはもう正規表現をblogに書くな」と言わせないでくれ : 404 Blog Not Found
2009年03月19日18:00 カテゴリLightweight Languages 「PHP使いはもう正規表現をblogに書くな」と言わせないでくれ ああ、まただよ... かなり使えるPHPの正規表現まとめ - IDEA*IDEA 〜 百式管理人のライフハックブログ 〜 正規表現って、プログラミング言語間の差が少ないサブ言語なのに、なぜ「PHP」がつくとダメ正規表現ばかり登場するのか。うんざりだ。 かなり使えるPHPの正規表現まとめ - IDEA*IDEA 〜 百式管理人のライフハックブログ 〜メールアドレスは厳密にチェックしようとするとなかなか難しいのですが、簡単なチェックだったらこれでOKぽいですね。 /^[^0-9][a-zA-Z0-9_]+([.][a-zA-Z0-9_]+)*[@][a-zA-Z0-9_]+([.][a-zA-Z0-9_]+)*[.][a-zA-Z]{2,4}$
サービス終了のお知らせ
平素より「PHPプロ！」をご愛顧いただき、誠にありがとうございます。 2006年より運営してまいりました「PHPプロ！」ですが、サービスの利用状況を鑑みまして、2018年9月25日（火曜日）をもちましてサービスを終了させていただくことになりました。 サービス終了に伴いまして、2018年8月28日（火曜日）を持ちまして、新規会員登録ならびにQ&A掲示板への新たな質問、回答の投稿を停止させていただきます。 なお、ご登録いただいた皆様の個人情報につきましては、サービス終了後、弊社が責任をもって消去いたします。 これまで多くの皆様にご利用をいただきまして、誠にありがとうございました。 サービス終了に伴い、皆様にはご不便をおかけいたしますこと、心よりお詫び申し上げます。 本件に関するお問い合わせはこちらよりお願いいたします。
チェックボックスから複数のvalueを取り出す
HTMLフォームから、action="file.php"でデータの受け渡し→PHPで送られてきたvalueに応じて文章を出力、というプログラムを作っています。 例： グループAのラジオボタン１にチェック、送信 →グループAで押されたラジオボタンを送信されたvalueで判別、この場合はvalue==A →value==Aの場合に表示する文章を変数に受け渡し、その変数で表示 ラジオボタン、テキストボックスのvalueは$_POST['XXX']で取り出せたのですが、チェックボックスのデータだけが取り出せません。こちらの質問を検索したとき、多次元配列という言葉を見かけたのですが、いまいちよく分かりませんでした。 チェックボックスの複数のvalueで、上記の例のような動きを実現させるにはどうしたらいいでしょうか。どなたかご教授ください。
６．１１ あいまい検索
６．１１ あいまい検索 ■LIKE演算子とワイルドカード文字「%」 WHERE句で、文字列の部分一致条件を使う場合は、LIKE演算子とワイルドカード文字「%」（半角）を使います。ワイルドカード文字「%」は０文字以上の任意の文字列を意味します。 末尾が「定食」となる商品名を含むいわゆる後方一致検索の場合は、「LIKE '%定食」のようにします'。 WHERE フィールド名 LIKE '%文字列' 前方一致検索の場合は、「LIKE '山%'」のようにします。 WHERE フィールド名 LIKE '文字列%' 部分一致検索の場合は、「LIKE '%幸%'」のようにします。 WHERE フィールド名 LIKE '%文字列%' 文字列に変数「$str」を使う場合は、変数を示す特殊文字「$」を再評価する必要があるので、「'」（シングルクォーテーション）の代わりに「"」（ダブルクォーテーション）で囲みま
PHP: 言語リファレンス - Manual
Getting Started Introduction A simple tutorial Language Reference Basic syntax Types Variables Constants Expressions Operators Control Structures Functions Classes and Objects Namespaces Enumerations Errors Exceptions Fibers Generators Attributes References Explained Predefined Variables Predefined Exceptions Predefined Interfaces and Classes Predefined Attributes Context options and parameters Su
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://www.rider-n.sakura.ne.jp/regexp/regexp.php
教えて！Ziddyちゃん - php mysql でチェックボックスによる検索
IDEA * IDEA
サービス終了のお知らせ
サービス終了のお知らせ