phpwind9.x和8.7XSS注入以及管理后台脚本注入漏洞
phpwind近期公布了2处安全漏洞，分别是富文本编辑器发帖的xss注入（受影响版本X）以及管理后台添加新用户时的脚本注入（受影响版本7）。
之一种：对普通的用户输入，页面原样内容输出。打开http：//go.ent.16com/goproducttest/test.jsp(限公司IP)，输 入：alert(‘xss’)， *** 脚本顺利执行。
防御SQL注入。避免SQL注入漏洞使用预编译语句 使用安全的存储过程 检查输入数据的数据类型 从数据库自身的角度考虑，应该使用最小权限原则，不可使用root或dbowner的身份连接数据库。
web安全要学什么?
1、学习CSRF伪造用户请求。CSRF（Cross-siterequestforgery，跨站请求伪造）也被称为oneclickattack（单键攻击）或者sessionriding，通常缩写为CSRF或者XSRF。暴力破解常见服务，可以使用Hydra九头蛇，也可以使用美杜莎。
2、渗透测试工具 渗透测试工具网上开源的很多，作为渗透测试人员会使用渗透测试工具这是必不可少的。一些优秀的工具要学会利用，还有就是要学会自己写工具。
3、安全技术研究，包括安全防范技术、黑客技术等；跟踪最新漏洞信息，进行业务产品的安全检查。
4、 *** 安全培训是教授学员 *** 安全相关知识以及如何维护 *** 安全的培训模式，它的目的和意义主要是培养出 *** 安全技术方面的人才，提高 *** 安全意识。
5、 *** 安全需要学习的内容有很多，大致分为以下几个大的阶段，每个阶段又细分多个小阶段，如需了解，可以来老男孩教育，领取课程学习路线图。
6、安全标准，但是对技术要求不高，服务与各大企业薪酬也是很高的。最后做总结， *** 安全工程师需要学什么？了解 *** 基础和基本理论、操作系统、编程语言，然后入门Web安全，掌握了一定的 *** 安全技术后，再考虑以后的大职业方向。
前端安全以及如何防范详细介绍
1、控制受害者机器向其它网站发起攻击 防止XSS解决方案 XSS的根源主要是没完全过滤客户端提交的数据 ，所以重点是要过滤用户提交的信息。
2、POST类型的攻击通常比GET要求更严格一些，但不能将安全寄托在仅允许POST上面。链接类型的CSRF并不常见，比起其他两种用户打开页面就中招的情况，这种需要用户点击链接才会触发。
3、安全防护结构又分为四部分：基础安全、应用安全、业务安全和商业安全。现在许多企业都处于最基础的被动防御阶段，比如当DDoS攻击来才开始使用防御；黑客入侵时才想到使用应急响应。而这些往往都是造成损失后的补救。
4、请求令牌虽然使用起来简单，但并非不可破解，使用不当会增加安全隐患。使用请求令牌来防止 CSRF 有以下几点要注意：虽然请求令牌原理和验证码有相似之处，但不应该像验证码一样，全局使用一个 Session Key。
5、企业领导不够重视，在Web站点的安全防范方面投入的资金太少或不合理，没有制定一个有效的Web站点安全防范策略，明确Web站点日常管理流程，也没有对Web站点的管理人员和工作人员进行不断的安全培训。
如何实现php的安全更大化?怎样避免sql注入漏洞和xss跨站脚本攻击漏洞...
哪怕只要有一个这样漏洞，cookie数据都可能被盗取进而导致用户的账户被盗取。技巧5：预防SQL注入攻击 PHP基本没有提供任何工具来保护你的数据库，所以当你连接数据库时，你可以使用下面这个mysqli_real_escape_string 函数。
用Suhosin加强PHP脚本语言安全性PHP是一种非常流行的网站脚本语言，但是它本身所固有的安全性是非常薄弱。PHP增强计划(Hardened-PHP project)和新的Suhosi计划，Suhosin提供了增强的PHP的安全配置。
使用预处理语句和参数化查询。禁止使用拼接sql语句，和参数类型验证，就可以完全避免sql注入漏洞！预处理语句和参数分别发送到数据库服务器进行解析，参数将会被当作普通字符处理。这种方式使得攻击者无法注入恶意的SQL。
php常见的几种攻击
1、）特征检测 特征检测对已知的攻击或入侵的方式作出确定性的描述，形成相应的事件模式。当被审计的事件与已知的入侵事件模式相匹配时，即报警。原理上与专家系统相仿。其检测 *** 上与计算机病毒的检测方式类似。
2、当“libdir/loadlanguage.php”被“main.php”调用时是相当安全的，但是因为“libdir/loadlanguage”具有“.php”的扩展名，因此远程攻击者可以直接请求这个文件，并且可以任意指定“$langDir”和“$userLang”的值。
3、一种常用的保护方式就是检查数组HTTP_GET[]或POST_VARS[]中的变量，这依赖于我们的提交方式(GET或POST)。当PHP配置为打开“track_vars”选项的话(这是缺省值)，用户提交的变量就可以在全局变量和上面提到的数组中获得。
4、常见的DoS工具有：同步洪流、WinNuke、死亡之PING、Echl攻击、ICMP/ *** URF、Finger炸弹、Land攻击、Ping洪流、Rwhod、tearDrop、TARGAUDP攻击、OOB等。