柠檬工作室 » PHP http://www.crazylemon.net 上帝无用，天使无用 Thu, 17 Nov 2011 19:39:10 +0000 en hourly 1 http://wordpress.org/?v=3.2.1 ecshop search 漏洞修复 http://www.crazylemon.net/php/3870.html http://www.crazylemon.net/php/3870.html#comments Fri, 20 May 2011 07:15:12 +0000 CrazyLemon http://www.crazylemon.net/?p=3870 很早的一个漏洞了，这两天又遇到，而且还是要做给朋友的网站上遇到，在网上搜解决方法，有用的甚少。

官方没有给出补丁，可能认为问题不大吧，并且后续版本会更新掉，但也造成了很多用户网站被入侵了。

在此贴出官方论坛给出的解决方法，以备查用：

我们程序员已经有解决方案
search.php
大概300 源
            if (is_not_null($val) )
修改为
            if (is_not_null($val) && is_numeric($key))
就可以了

随机日志

]]> http://www.crazylemon.net/php/3870.html/feed 2 PHP curl 处理ssl地址 http://www.crazylemon.net/php/3801.html http://www.crazylemon.net/php/3801.html#comments Thu, 20 Jan 2011 07:56:17 +0000 CrazyLemon http://www.crazylemon.net/?p=3801 前段时间dnspod官方变更了API接口地址，主要改动如下：

  • 把API地址改为https://dnsapi.cn
  • 去掉了URL后的/API

    • 我之前使用的接口类更改后仍无法使用，按官方提供的一个PHP+curl调用实例测试也无法成功，主代码如下：

    function postData($url, $data) {
	$data	= http_build_query($data);

	$ch	= curl_init();
	curl_setopt($ch, CURLOPT_URL, $url);
	// curl_setopt($ch, CURLOPT_HEADER, 1);
	// curl_setopt($ch, CURLOPT_VERBOSE, 1);
	curl_setopt($ch, CURLOPT_POST, 1);
	curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
            curl_setopt($ch, CURLOPT_USERAGENT, '程序英文名/版本 (联系邮箱)');
    	curl_setopt($ch, CURLOPT_POSTFIELDS, $data);

	$response	= curl_exec($ch);
	curl_close($ch);

	return $response;
}

    怀疑是否我的curl模块不支持SSL，但又觉得不可能；后上网查了下，原来是没有设置一个参数：

    curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, FALSE);

    就是对安全连接不进行核实，否则即无法正常返回结果

    随机日志

    ]]>     http://www.crazylemon.net/php/3801.html/feed 0     preg_match_all (.*)函数不能匹配出换行符 http://www.crazylemon.net/php/3790.html http://www.crazylemon.net/php/3790.html#comments Fri, 31 Dec 2010 08:16:48 +0000 CrazyLemon http://www.crazylemon.net/?p=3790 今天发现preg_match_all 函数不能匹配出换行符，如果要配匹的结果里有换行符，需要用用

    str_replace(“\n”,”",$s);之类的方法去掉换行符。

    随机日志

    ]]>     http://www.crazylemon.net/php/3790.html/feed 1     PHP防CC攻击 http://www.crazylemon.net/php/3740.html http://www.crazylemon.net/php/3740.html#comments Tue, 09 Nov 2010 20:50:07 +0000 CrazyLemon http://www.crazylemon.net/?p=3740 统计代码：
    <?
    if (isset($_SERVER)){
    $realip = $_SERVER[HTTP_X_FORWARDED_FOR];
    }
    else
    {
    $realip = getenv(“HTTP_X_FORWARDED_FOR”);
    }
    if($realip<>”"){
    $remoteip=$_SERVER['REMOTE_ADDR'];
    log_ip($remoteip,$realip);
    }
    function log_ip($remote_ip,$real_ip)
    {
    $temp_time = date(“y-m-d G:i:s”);
    $temp_result = $temp_time.”\t”.$real_ip.”\t”.$remote_ip.”\n”;
    if(!$fhandle=fopen(“cc_log.txt”,”a+”)){
    print “error”;
    exit;
    }
    fwrite($fhandle,$temp_result);
    fclose($fhandle);
    }
    ?>
    此段代码作用:
    将代理访问的真实IP记录到日志中，以便排查分析。
    以下是cc_log.txt的内容(此代码生产是因我通过CC攻击软件攻击生产的)
    Time Real_ip Remote_ip <=此行是我自己添加的
    09-09-05 13:50:47 122.144.131.72 60.248.212.230
    09-09-05 13:50:47 122.144.131.72 60.248.212.230
    09-09-05 13:50:47 122.144.131.72 60.248.212.230
    09-09-05 13:50:48 122.144.131.72 60.248.212.230
    09-09-05 13:50:48 122.144.131.72 60.248.212.230
    09-09-05 13:50:48 122.144.131.72 60.248.212.230
    09-09-05 13:50:49 122.144.131.72 60.248.212.230
    09-09-05 13:50:49 122.144.131.72 219.146.172.91
    09-09-05 13:50:49 122.144.131.72 219.146.172.91
    09-09-05 13:50:49 122.144.131.72 219.146.172.91
    09-09-05 13:50:49 122.144.131.72 219.146.172.91
    09-09-05 13:50:49 122.144.131.72 219.146.172.91
    09-09-05 13:50:49 122.144.131.72 60.248.212.230
    09-09-05 13:50:49 122.144.131.72 60.248.212.230
    09-09-05 13:50:50 122.144.131.72 219.146.172.91
    09-09-05 13:50:50 122.144.131.72 219.146.172.91
    09-09-05 13:50:50 122.144.131.72 219.146.172.91
    09-09-05 13:50:50 122.144.131.72 219.146.172.91
    09-09-05 13:50:50 122.144.131.72 219.146.172.91
    09-09-05 13:50:51 122.144.131.72 60.248.212.230
    在仅仅有4秒的时间内，就从真实IP 122.144.131.72 以代理IP(60.248.212.230,219.146.172.91)来访问我这台服务器，可见这台真实客户端
    是有问题的，这时，我们应该用防火墙(iptables)禁止掉这些真实IP，以使他们的请求，在入口就Deny掉。
    session_start();
    $timestamp = time();
    $cc_nowtime = $timestamp ;
    if (session_is_registered(‘cc_lasttime’)){
    $cc_lasttime = $_SESSION['cc_lasttime'];
    $cc_times = $_SESSION['cc_times'] + 1;
    $_SESSION['cc_times'] = $cc_times;
    }else{
    $cc_lasttime = $cc_nowtime;
    $cc_times = 1;
    $_SESSION['cc_times'] = $cc_times;
    $_SESSION['cc_lasttime'] = $cc_lasttime;
    }
    if (($cc_nowtime – $cc_lasttime)<5){ if ($cc_times>=10){
    header(sprintf(“Location: %s”,’http://127.0.0.1′));
    exit;
    }
    }else{
    $cc_times = 0;
    $_SESSION['cc_lasttime'] = $cc_nowtime;
    $_SESSION['cc_times'] = $cc_times;
    }
    ?>
    这段代码的作用：
    同一会话，如果在5秒钟内，刷新了10次就将响应指向到本地服务(http://127.0.0.1)

    通过<iframe>进行CC攻击，攻击者的想法和创意，确实很让人惊叹，但这正好造成了他的完美失败。熟悉网页程序的朋友应该都知道，用<iframe>嵌入的网页，自然都会有HTTP_REFERER值，而有了这个值，从这个值上面屏蔽或是转发掉来源的网站即可。也就是说，你可以访问我，但是我不将真实的页面返回给你，我可以把你随意打发掉，或是将你随意转到另外一个网站上去（如：公安部？哈哈，我就见过有人类似这样做的），这样我就可以大量的节省我的带宽、我的DB Server资源、我的Web Server资源。你最多就是占用了我大量的TCP连接罢了。

    随机日志

    ]]>     http://www.crazylemon.net/php/3740.html/feed 0     php实现域名(URL)转发 http://www.crazylemon.net/php/3736.html http://www.crazylemon.net/php/3736.html#comments Tue, 09 Nov 2010 20:36:00 +0000 CrazyLemon http://www.crazylemon.net/?p=3736 所谓URL转发，是通过服务器的特殊设置，将访问您当前域名的用户引导到您指定的另一个网络地址。 　　地址转向（也可称“URL转发”）即将一个域名指向到另外一个已存在的站点，英文称为“ URL FORWARDING ”。域名指向可能这个站点原有的域名或网址是比较复杂难记的。

    不隐藏路径 URL 转发：例如： http://b.com/ 指向 http://a.com/xxx/ （任意目录）；当在浏览器地址栏中敲入 http://b.com/ 后回车， IE 浏览器的地址栏里显示的地址会由原来您敲入的 http://b.com/ 自动变为显示真正的目标地址 http://a.com/xxx/ ；
     　　
    隐藏路径的 URL 转发：例如： http://b.com/ 指向 http://a.com/xxx/ （任意目录）；当在浏览器地址栏中敲入 http://b.com/ 后回车， IE 浏览器的地址栏里显示的地址保持不变，仍是 http://b.com/ ，但实际访问到的是 http://a.com/xxx/ 的内容。

    有些服务器商或域名解析商有提供域名转发功能，之前不太了解，其实这种URL转发可以使用很容的技术来实现。

    不隐藏路径 URL 转发：可以使用PHP简单实现，代码如下：

    <?php
    header(“Location:http://www.baidu.com”);
    ?>

    可以使用如 header(‘HTTP/1.1 302 Moved Permanently’); 来告知搜索引擎是301或302或500错误

    隐藏路径的 URL 转发：可使用frameset实现，如：

    <frameset border=”0″ frameSpacing=”0″ rows=”*,0″ frameBorder=”0″ cols=”*”>
    <frame src=”http://www.baidu.com”  noResize scrolling=auto>
    </frameset>

    这里就没有跳转了，只是抓取内容，可以自定义标题等

    php的header函数很好用

    随机日志

    ]]>     http://www.crazylemon.net/php/3736.html/feed 0     GSPAY支付模块接口文档及测试方法 http://www.crazylemon.net/php/3699.html http://www.crazylemon.net/php/3699.html#comments Tue, 26 Oct 2010 12:31:50 +0000 CrazyLemon http://www.crazylemon.net/?p=3699 GSPAY官方有提供多种网店系统的GSPAY支付接口，及接口的说明文档，但都是英文的，而且需要登陆进GSPAY后台才能看到。

    在这里我将官方下载地址贴出来，以免有些人说找不到

    说明文档：http://www.gspay.com/docs/Merchants_manual.pdf

    GSPAY for Zen Cart：http://www.gspay.com/docs/modules_rd/zencart.zip

    不过这个版本的接口是较原始的，有些地方还需要改一下，比如你需要在支付方式选择页面为它加上个图片的话。

    另外，有幸找到一份简单的中文说明，得知GSPAY支付接口的测试方法如下：

    在表单中添加一条POST数据：

    <input type=”hidden” name=”TransactionMode” value=”test”>

    即可告知GSPAY接口该交易为测试交易，测试使用的卡号：
    4444445555555555 会模拟一个成功的交易
    4444446666666666 会模拟一个失败的交易

    到目前为止，PayPal有沙盒测试，ECPSS有无敌卡号4000000000000002，GSPAY也有它自己的测试方法了。

    相关日志

    ]]>     http://www.crazylemon.net/php/3699.html/feed 0     DNSPOD API升级 http://www.crazylemon.net/php/3603.html http://www.crazylemon.net/php/3603.html#comments Fri, 15 Oct 2010 08:52:53 +0000 CrazyLemon http://www.crazylemon.net/?p=3603 最近DNSPOD API升级了，改动比较大，之前写的一个整理的dnspod接口类还可以正常使用，但调用参数要作很大更改，主要原因是升级后Domain.List、Record.List等接口返回的数组结构和提交参数值发生了变化。

    主要更改有：

    Domain.List返回的数组去掉了domain一级，Record.List返回的数组去掉了record一级，调用时要相应去掉。

    record_line参数值作了改动，原本是英文，如default、edu等，现在改为中文，如默认、教育网等；改为中文，真是个退步，因为编码问题，参数提交和返回时都要求在UTF-8环境下，即用web界面调用时，charset要为UTF-8，源代码也要以utf-8格式保存，避免乱码和造成提交失败。

    其它的问题暂时没发现，因为只要能添加删除域名和记录，就行了。

    另外，DNSPOD官方文档要求的使用https方式请求并不是强制的，所以原来的http://www.dnspod.com/API/地址还是可以用，其实如果非要用https的话，可能还会遇到服务器CURL配置的问题，至少我的初始配置无法执行。

    DNSPOD的API调用限制是一小时内不能超过120次，这个不是针对帐号而是针对IP，所以本地调用受限时，急的话可以切换个IP再试。

    相关日志

    ]]>     http://www.crazylemon.net/php/3603.html/feed 5     ECSHOP安装时数据库出错的原因 http://www.crazylemon.net/php/3566.html http://www.crazylemon.net/php/3566.html#comments Fri, 01 Oct 2010 08:43:34 +0000 CrazyLemon http://www.crazylemon.net/?p=3566 应该有些朋友在安装ECSHOP时，遇到这样一个问题，就是填好了数据库信息，并测试能正常连接的情况下（如用搜索现有数据库功能搜索得到数据库），点击安装却报如下错误：

    创建配置文件…………成功
    创建数据库…………成功
    安装数据…………失败
    ECSHOP info: Can’t Connect MySQL Server(localhost:3306)!

    这是因为ECSHOP的数据库密码不能有美元符号$，应该算是ECSHOP的一个小BUG

    解决方法：

    修改数据库密码。。。。

    相关日志

    ]]>     http://www.crazylemon.net/php/3566.html/feed 3     恶心的Cannot modify header information – headers already sent by http://www.crazylemon.net/php/3563.html http://www.crazylemon.net/php/3563.html#comments Thu, 30 Sep 2010 17:14:38 +0000 CrazyLemon http://www.crazylemon.net/?p=3563 如果在一些动作前有莫名的输出。。。如空格，便会报如下错误

    Cannot modify header information – headers already sent by (output started at……

    报也就算了，但同样是开启了错误报告，有的却不报，郁闷，无法找到空格出在哪

    解决方法，一般在页面执行前加ob_start();

    或直接在php.ini中开启output_buffering，但这样影响服务器性能，恶心

    相关日志

    ]]>     http://www.crazylemon.net/php/3563.html/feed 0     wordpress模板兼容性问题 http://www.crazylemon.net/php/3538.html http://www.crazylemon.net/php/3538.html#comments Sat, 25 Sep 2010 07:52:27 +0000 CrazyLemon http://www.crazylemon.net/?p=3538 相信有很多wordpress用户有遇到过这种问题，就是新装了个模板后，博客打不开了，提示：

    Fatal error: Call to undefined function wp_nav_menu() in /。。.php on line 14

    之类的问题，原因是wordpress版本太低，可能是2.9版的，而模板只支持wordpress3.0以上版本

    这次wordpress升级到3.0版加了很多原本没有的函数，如果模板调用了这些新函数，就会出现以上错误

    解决办法，到wordpress后台自动升级wordpress版本到最新版

    当然，直接进后台是没办法的，会报错，所以要先进FTP将调用这些新函数的语句注释掉再进

    相关日志

    ]]>     http://www.crazylemon.net/php/3538.html/feed 1