PHP防CC攻击与防止快速刷新页面例子

更新时间：2016年11月25日 15:21 点击：1500

CC攻击攻击的原因就是不停的刷新动态页面如php+mysql读写数据库的页面，这样如果刷新比较快可以导致页面卡死或服务器资源使用超量，从而导致服务器挂了，下面给大家整理了一些防止CC攻击的例子。

CC攻击原因

CC攻击的原理就是攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来攻击页面的，每个人都有这样的体验：当一个网页访问的人数特别多的时候，打开网页就慢了，CC就是模拟多个用户（多少线程就是多少用户）不停地进行访问那些需要大量数据操作（就是需要大量CPU时间）的页面，造成服务器资源的浪费，CPU长时间处于100%，永远都有处理不完的连接直至就网络拥塞，正常的访问被中止。

cc攻击刷新页面对我们没有任何意义，要说有意义就是把我们的网站资源使用尽了。

防御CC攻击可以通过多种方法，禁止网站代理访问，尽量将网站做成静态页面，限制连接数量，修改最大超时时间等。

例子

代码如下

复制代码

<?php

//代理IP直接退出
empty($_SERVER['HTTP_VIA']) or exit('Access Denied');
//防止快速刷新
session_start();
$seconds = '3'; //时间段[秒]
$refresh = '5'; //刷新次数
//设置监控变量
$cur_time = time();
if(isset($_SESSION['last_time'])){
$_SESSION['refresh_times'] += 1;
}else{
$_SESSION['refresh_times'] = 1;
$_SESSION['last_time'] = $cur_time;
}
//处理监控结果
if($cur_time - $_SESSION['last_time'] < $seconds){
if($_SESSION['refresh_times'] >= $refresh){
  //跳转至攻击者服务器地址
  header(sprintf('Location:%s', 'http://127.0.0.1'));
  exit('Access Denied');
}
}else{
$_SESSION['refresh_times'] = 0;
$_SESSION['last_time'] = $cur_time;
}
?>

防火墙是防CC攻击一个非常不错的解决方案了，不但不会对服务器有任何影响同时能有效的防止CC攻击

推荐小站长可使用安全狗来做防CC攻击或使用linux iptalbs来防止CC攻击，同样像我的服务器有机房防火墙会自动拦截这些类型的攻击哦。

PHP DDOS是一种利用php写的一款向外部服务器发布数据的一段代码了，几年前自己服务器中过一次php ddos了，phpddos主要作用是黑客利用服务器本身的php环境，然后把代码上传服务器上，再利用外部工具来控制这段代码的执行与攻击外部的那台机器，从而让你机器资源耗尽了，下面我们来看360杀毒PHP-DDOS脚本专杀工具怎么安装使用吧

1、百度搜索 360PHP-DDOS脚本专杀工具我们进入到360官方去下载这个工具包。

2、下载好工具包之后我们再把 360doskill.php 上传到你的网站根目录了。

3、然后我们再直接在浏览器输访问360doskill.php，访问地址：http://网站域名/360doskill.php

360杀毒PHP-DDOS脚本专杀工具怎么安装？服务器中PHP-DDOS怎么查找?

4、然后我们输入默认的用户名与密码登录。

360杀毒PHP-DDOS脚本专杀工具怎么安装？服务器中PHP-DDOS怎么查找?

5、然后我们点击扫描就可以扫描整个目录了，当然也可以指定目录搜索php ddos代码了。

360杀毒PHP-DDOS脚本专杀工具怎么安装？服务器中PHP-DDOS怎么查找?

6、如扫描之后会发现所有的php ddos文件所在目录我们只要远程上服务器删除即可。

友情提示，我们的最好对360doskill.php 文件的默认用户名与密码进行修改哦。

防止站长提交表单无非就是对每一次打开表单或提交数据都会需要加一个token来进行验证了，这个其实与验证码做法没什么两样了，下面来看几个防止站外远程提交表单的例子。

例子一，我们每一次打开提交页面生成一个token然后保存在session中，当表单提交时我们来判断当前的token值与session是否一致，如果是的就是正常提交否则就是无效提交了。

代码

代码如下

复制代码

<?php
session_start();

if ($_POST['submit'] == "go"){
    //check token
    if ($_POST['token'] == $_SESSION['token']){
        //strip_tags
        $name = strip_tags($_POST['name']);
        $name = substr($name,0,40);
        //clean out any potential hexadecimal characters
        $name = cleanHex($name);
        //continue processing....
    }else{
        //stop all processing! remote form posting attempt!
    }
}

$token = md5(uniqid(rand(), true));
$_SESSION['token']= $token;

function cleanHex($input){
    $clean = preg_replace("![＼][xX]([A-Fa-f0-9]{1,3})!", "",$input);
    return $clean;
}
?>
<form action="<?php echo $_SERVER['PHP_SELF'];?>" method="post">
<p><label for="name">Name</label>
<input type="text" name="name" id="name" size="20" maxlength="40"/></p>
<input type="hidden" name="token" value="<?php echo $token;?>"/>
<p><input type="submit" name="submit" value="go"/></p>
</form>

还有一种比较明显的做法就是利用验证码了，这种验证码的方式与其它的方式是一样的哦，下面看个简单的例子

增加验证码

表单提交时候增加验证码，可以有效防止灌水机提交数据。但是随着图形图像识别程序变的更加强大，验证码识别也不断的在提高他的难度，有些验证码甚至加入了声音的识别，一些小站点可以采用这样的方式。

代码如下	复制代码
if($_POST['vcode'] != get_vcode()) { exit('验证码校验失败，无法入库'); }

具体的例子就不介绍了网上很多验证的相关例子。

跨站攻击就是利用程序上的一些细节或bug问题进行的了，那么我们要如何耿防止跨站攻击呢？下面我们费话不说多了来给大家整理一个防止跨站攻击例子，希望对各位有帮助。

代码是最好的语言。。

代码如下

复制代码

<?php
#demo for prevent csrf

/**
* enc
*/
function encrypt($token_time) {
return md5(‘!@##$@$$#%43′ . $token_time);
}

$token_time = time();
$token = encrypt($token_time);
$expire_time = 10;

if ($_POST) {
$_token_time = $_POST['token_time'];
$_token = $_POST['token'];

if ((time() – $_token_time) > $expire_time) {
echo “expired token”;
echo “<br />”;
}

echo $_token;
echo “<br />”;
$_token_real = encrypt($_token_time);

echo $_token_real;
//compare $_token and $_token_real
}
?>

<!DOCTYPE html>
<html>
<head>
<meta http-equiv=”content-type” content=”text/html; charset=utf-8″ />
<title>test for csrf</title>
<meta http-equiv=”" content=”" />
</head>
<body>
<form method=”post” action=”">
<input type=”text” name=”text” id=”" value=”hello” />
<input type=”hidden” name=”token” id=”" value=”<?php echo $token ?>” />
<input type=”hidden” name=”token_time” id=”" value=”<?php echo $token_time ?>” />

</form>
</body>
</html>

通过在你的表单中包括验证码，你事实上已经消除了跨站请求伪造攻击的风险。可以在任何需要执行操作的任何表单中使用这个流程

当然，将token 存储到session更好，这儿只是简单示例下

简单分析：

token防攻击也叫作(令牌)了，我们在用户访问页面时就生成了一个随机的token保存session与表单了，用户提交时如果我们获取到的token与session不一样就可以提交重新输入提交数据了

防止sql注入这些细节问题一般是出现在大意程序员或者是新手程序员了，他们未对用户提交过来的数据进行一些非常过滤从而导致给大家测试一下就攻破了你的数据库了，下面我来简单的一个用户登录未进行安全配置可能出现的sql注入方法，下面一起来看看吧。

比如以下一段登录的代码：

代码如下

复制代码

if($l = @mysql_connect('localhost', 'root', '123')) or die('数据库连接失败');

mysql_select_db('test');

mysql_set_charset('utf8');

$sql = 'select * from test where username = "$username" and password = "$password"';

$res = mysql_query($sql);

if(mysql_num_rows($res)){

header('Location:./home.php');

}else{

die('输入有误');

}

注意上面的sql语句，存在很大的安全隐患，如果使用以下万能密码和万能用户名，那么可以轻松进入页面：

代码如下	复制代码
1. $sql = 'select * from test where username = "*" and password = "*" or 1 = "1"';

很明显，针对这条sql语句的万能密码是: ***" or 1 = "1

代码如下	复制代码
2. $sql = 'select * from test where username ="**" union select from users/* and password = "***"';

正斜线* 表示后面的不执行，mysql支持union联合查询，所以直接查询出所有数据; 所以针对这条sql语句的万能用户名是：***" union select * from users/*

但是，此注入只针对代码中的sql语句，如果

代码如下	复制代码
$sql = "select * from test where username = $username and password = $password";

上面的注入至少已经不管用了，不过方法是一样的;

在使用PDO之后，sql注入完全可以被避免，而且在这个快速开发的时代，框架横行，已然不用过多考虑sql注入问题了。

下面整理了两个防止sql注册函数

代码如下

复制代码

/* 过滤所有GET过来变量 */
foreach ($_GET as $get_key=>$get_var)
{
if (is_numeric($get_var)) {
$get[strtolower($get_key)] = get_int($get_var);
} else {
$get[strtolower($get_key)] = get_str($get_var);
}
}
/* 过滤所有POST过来的变量 */
foreach ($_POST as $post_key=>$post_var)
{
if (is_numeric($post_var)) {
$post[strtolower($post_key)] = get_int($post_var);
} else {
$post[strtolower($post_key)] = get_str($post_var);
}
}
/* 过滤函数 */
//整型过滤函数
function get_int($number)
{
return intval($number);
}
//字符串型过滤函数
function get_str($string)
{
if (!get_magic_quotes_gpc()) {
return addslashes($string);
}
return $string;
}

还有一些博客会这样写

代码如下

复制代码

<?php
function post_check($post)
{
if (!get_magic_quotes_gpc()) // 判断magic_quotes_gpc是否为打开
{
$post = addslashes($post); // 进行magic_quotes_gpc没有打开的情况对提交数据的过滤
}
$post = str_replace("_", "＼_", $post); // 把 '_'过滤掉
$post = str_replace("%", "＼%", $post); // 把' % '过滤掉
$post = nl2br($post); // 回车转换
$post= htmlspecialchars($post); // html标记转换
return $post;
}
?>

[!--infotagslink--]

上一篇: PHP自动识别用户上传不雅图片并发邮箱提示

下一篇: 实例演示站点安全漏洞分析与建议报告

PHP传值到不同页面的三种常见方式及php和html之间传值问题
在项目开发中经常见到不同页面之间传值在web工作中，本篇文章给大家列出了三种常见的方式。接触PHP也有几个月了，本文总结一下这段日子中，在编程过程里常用的3种不同页面传值方法，希望可以给大家参考。有什么意见也希望大...2015-11-24
jQuery实现切换页面过渡动画效果
直接为大家介绍制作过程，希望大家可以喜欢。HTML结构该页面切换特效的HTML结构使用一个<main>元素来作为页面的包裹元素，div.cd-cover-layer用于制作页面切换时的遮罩层，div.cd-loading-bar是进行ajax加载时的loading进...2015-10-30
解决vue刷新页面以后丢失store的数据问题
这篇文章主要介绍了解决vue刷新页面以后丢失store的数据问题，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2020-08-12
解决vuex数据页面刷新后初始化操作
这篇文章主要介绍了解决vuex数据页面刷新后初始化操作，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2020-07-26
PHP页面转UTF-8中文编码乱码的解决办法
对于乱码这个问题php开发者几乎都会有碰到过，我们下面主要是介绍了php文件乱码和页面乱码。PHP页面转UTF-8编码问题 1.在代码开始出加入一行： header("Content-Type: text/html;charset=utf-8"); 2.PHP文件编码问题...2015-10-21
JavaScript 获取滚动条位置并将页面滑动到锚点
这篇文章主要介绍了JavaScript 获取滚动条位置并将页面滑动到锚点的的相关资料，帮助大家更好的理解和学习使用JavaScript，感兴趣的朋友可以了解下...2021-02-09
java后台实现js关闭本页面,父页面指定跳转或刷新操作
这篇文章主要介绍了java后台实现js关闭本页面,父页面指定跳转或刷新操作，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2020-11-16
vue实现在进行增删改操作后刷新页面
这篇文章主要介绍了vue实现在进行增删改操作后刷新页面，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2020-08-05
Pycharm 跳转回之前所在页面的操作
这篇文章主要介绍了Pycharm 跳转回之前所在页面的操作，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2021-02-05
微信小程序页面间传值的实现方法示例
这篇文章主要给大家介绍了关于微信小程序页面间传值的相关资料，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2021-04-09
Bootstrap页面缩小变形的快速解决办法
bootstrap布局是应用得很广泛的一种网页布局方法，下面通过本文给大家介绍bootstrap页面缩小变形的快速解决办法，需要的朋友参考下吧...2017-02-08
微信小程序教程之注册页面
这篇文章主要介绍了微信小程序注册页面的相关资料,需要的朋友可以参考下...2016-10-20
javascript 判断页面访问方式电脑或者移动端
这篇文章主要介绍了判断页面访问方式电脑或者移动端的相关资料,这里提供了三种方法，需要的朋友可以参考下...2016-10-03
在vue中实现嵌套页面(iframe)
这篇文章主要介绍了在vue中实现嵌套页面(iframe)，具有很好的参考价值，希望对大家有所帮助。一起跟随小编过来看看吧...2020-07-31
一篇文章带你了解kali局域网攻击
这篇文章主要给大家介绍了kali的局域网攻击,小编觉得这篇文章还是不错的,使用起来也是非常方便的,需要的朋友可以参考下...2021-08-20
php预防XSS攻击的一些方法整理
现在有很多php开发框架都提供关于防XSS攻击的过滤方法，下面和大家分享一个预防XSS攻击和ajax跨域攻击的函数，摘自某开发框架，相比于仅仅使用内置函数应该还是够强了的吧...2016-11-25
jQuery中通过ajax的get()函数读取页面的方法
这篇文章主要介绍了jQuery中通过ajax的get()函数读取页面的方法,需要的朋友可以参考下...2016-03-01
php中header自定义404状态错误页面
404页面就是一个告诉搜索引擎这个页面不存在了，同时也提示用户可以选择其它的操作了，下面我来给没有apache操作权限朋友介绍php中自定义404页面的操作方法。方法一...2016-11-25
10分钟彻底搞懂微信小程序单页面应用路由
这篇文章主要给大家介绍了光宇微信小程序单页面应用路由的相关资料，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧...2021-03-10
C#网站生成静态页面的实例讲解
今天小编就为大家分享一篇关于C#网站生成静态页面的实例讲解，小编觉得内容挺不错的，现在分享给大家，具有很好的参考价值，需要的朋友一起跟随小编来看看吧...2020-06-25

PHP防CC攻击与防止快速刷新页面例子

相关文章

阁下可能感兴趣的内容

推荐阅读