GD 庫生成基礎驗證碼 利用 PHP GD 擴展繪製簡單數字驗證碼，儲存於 Session 供後續驗證。 完整程式碼 <?php // 必須啟動 Ses

歷史包袱與現代防護 早期 PHP 的 magic_quotes_gpc 會自動轉義輸入，但已於 PHP 5.4 移除。為相容舊環境，需判斷狀態並採取對應處理。

核心防禦原則：永不信任輸出 無論輸出到瀏覽器、資料庫或 URL，所有動態資料在輸出前都必須經過對應語境的轉義處理，這是纵深防禦的基礎。 HTML 輸出轉義：h

eval(gzinflate(...)) 多層加密原理 部分 PHP 加密工具使用 eval(gzinflate(str_rot13(base64_decode

會話 ID 洩露風險與防範策略 Session ID 是用戶身份的關鍵憑證，一旦被竊取即導致會話劫持。主要洩露管道包括：明文傳輸（HTTP）、URL 參數傳遞（

Session 機制防範語義 URL 攻擊 語義 URL 攻擊利用應用程式過度信任用戶輸入的參數（如重設密碼連結中的 user 與 email），導致駭客可竊取

PHP 中的 URL 加密解密基礎 在 Web 開發中，經常需要對 URL 參數進行加密傳輸，以保護敏感資訊或防止參數被竄改。PHP 內建的 base64_en

教學目標 本教學將帶你一步步建立一個小型網站，涵蓋 PHP 與 MySQL 的核心操作：查看、新增、修改、刪除資料庫記錄。適合初學者同時掌握 MySQL 指令與

惡意代碼常見 N 層加密模式 eval(gzinflate(str_rot13(base64_decode(BASE64內容)))) 破解原理：eval →

Mcrypt 已死，勿再使用 原代碼使用 mcrypt_module_open(MCRYPT_DES, , ecb, )： DES：56 位密鑰，1999

兩大核心函數正確用法 1. mysql_real_escape_string() $item = Zaks and Dericks Laptop; $esca

問題場景 HTML 表單中多個同名輸入框 (如動態添加的行、複選框)，直接用 name=field 只能獲取最後一個值。需用 name=field[] 讓 PH

刷票手段與對應對策 手段破解方式對策 驗證碼人工/識別程式/打碼平台中文/計算/圖形推理驗證碼，提高機器成本 IP 限制撥號換 IP/代理池/VPNIP+C

核心防禦函數對比 1. mysql_real_escape_string() —— 最佳選擇 $con = mysqli_connect(localhost,

Apache 模組模式專屬 HTTP Basic Auth 僅適用於 PHP 以 Apache 模組（mod_php）運行，CGI/FastCGI 模式無效。

Python 掃描器完整代碼 此腳本遞迴掃描目錄下 .php、.inc、.html、.htm 檔案，偵測以下特徵： include/require(_once

disable_functions 實戰配置 單一函數禁用 disable_functions = phpinfo 批量禁用高風險函數（推薦生產環境） di

進階驗證碼實作三選一 方案一：純數字 + 干擾線/點（函數式） function rand_create() {   header(Co

GD 庫驗證碼三種實作範例 前置準備 ; php.ini 啟用 GD2 extension=php_gd2.dll 範例一：基礎圖片生成 $width=1

完整攻擊與防禦技術白皮書 一、magic_quotes_gpc = Off 字串型注入 同前文： OR 1=1 # 繞過登入、UNION SELECT 竊取資