便宜VPS网网站不是使用php开发的,为什么漏洞扫描还能有php漏洞呢?
第一PHP语言本身漏洞相当多，尤其是很多人不喜欢用最新版本，现在PHP8都发布了，现在竟然还有一大批人用PHP2，越早的版本漏洞越多。漏洞多自然就好做渗透。第二PHPweb框架漏洞也非常多。
网站经常被黑的的根本原因主要有以下几点：跨站脚本(XSS)XSS漏洞是最普遍和最致命的网络应用软件安全漏洞，当一款应用软件将用户数据发送到不带认证或者不对内容进行编码的网络浏览器时容易发生。
首先，我们来讨论包含文件漏洞。这个漏洞应该说是PHP独有的吧。这是由于不充分处理外部提供的恶意数据，从而导致远程攻击者可以利用这些漏洞以WEB进程权限在系统上执行任意命令。
使用第三方软件的PHP网站存在固有的漏洞，因为第三方应用程序开发不受企业的掌控。
另外，所有这些扫描活动都是在网络安全公司VulnSpy将一个ThinkPHP漏洞的概念验证代码（PoC）发布到ExploitDB网站上之后开始进行的。这里需要说明的是，ExploitDB是一家提供免费托管漏洞利用代码的热门网站。
方法有两种比如：第一种：IIS中关闭目录浏览功能：在IIS的网站属性中，勾去“目录浏览”选项，重启IIS；第二种：Apache中关闭目录浏览功能：打开Apache配置文件httpd.conf。
我的index.PHP文件老是被注入广告代码?
你的站被人放入后门了，比如一句话，或者你的服务器被人破解，可以连接，可以设吧一些文件夹设置权限，比如上传的文件夹特别是图片，把一些服务器的端口不用的够关了。但是这不是根本问题，或许扫描工具可以解决。
upcache=1浏览器都会重新加载网站数据，而你第二次访问index.php浏览器则会读取缓存，并不会重新加载数据。这样可以提高网页打开速度，也可以减轻服务器压力。
SQL的话应该使用特别点的帐号密码，不要在使用什么什么admin之类，否则很容易被入侵。创建一个robots.txt Robots能够有效的防范利用搜索引擎窃取信息的骇客。修改后台文件 第一步：修改后台里的验证文件的名称。
这说明你的网站有漏洞，极有可能被植入了PHP 木马，所以 建议你先查马，删除之，然后检查程序漏洞，把漏洞补上才是关键。
有可能是服务器中了木马了，如果是那么首先要找出木马删掉，然后最主要的调整你的项目目录的权限。
如何手工渗透测试Web应用程序(一):入门_html/css_WEB-ITnose
你可以根据检查web应用程序的安全性的需要操作请求内容。为了拦截请求，你的Burp Proxy listener必须配置成监听10.1 localhost的8080端口。
首先要对你想要测试的web应用了解什么程序、用什么语言写的、使用的什么版本，什么架构的，服务器都开放了什么端口，用的是什么系统什么版本等等。等踩点完毕以后，就要对以上信息的寻找突破口。
第一大步：掌握前台技术学会HTML，再熟悉一下XHTML，了解他们之间的区别，学习的过程当中少用DreamWever这种所见即所得的软件进行代码编写，建议使用EditPLus或者ue等具有高亮代码提示功能的文本编辑器进行代码编写。
开发无障碍可访问的 Web 网页应用 开发和测试可访问的 Web 应用主要的有以下几个步骤：Webking 进行静态检查，通常由开发人员在单元测试时进行，检查 HTML 页面中不满足 CI162 所对应列表的项。
编写新组件 编写新组件时，要在着手处理 CSS 之前写好 HTML 部分。这可以令你准确判断哪些 CSS 属性可以继承，避免重复浪费。 先写标记的话，你就可以关注数据、内容与语义，在这之后再添加需要的 class 和 CSS 样式。
如何防止代码注入攻击在PHP
1、使用PDO防注入。这是最简单直接的一种方式，当然低版本的PHP一般不支持PDO方式去操作，那么就只能采用其它方式。采用escape函数过滤非法字符。
2、地址栏禁止特殊字符防SQL注入 把特殊字符（如and、or、、）都禁止提交就可以防止注入了。
3、防范SQL注入 - 使用mysql_real_escape_string()函数 在数据库操作的代码中用这个函数mysql_real_escape_string()可以将代码中特殊字符过滤掉，如引号等。
4、使用预处理语句和参数化查询。禁止使用拼接sql语句，和参数类型验证，就可以完全避免sql注入漏洞！预处理语句和参数分别发送到数据库服务器进行解析，参数将会被当作普通字符处理。这种方式使得攻击者无法注入恶意的SQL。
5、].)；？ PDO参数绑定的原理是将命令与参数分两次发送到MySQL，MySQL就能识别参数与命令，从而避免SQL注入（在参数上构造命令）。mysql在新版本PHP中已经预废弃，使用的话会抛出错误，现在建议使用MySQLi或者MySQL_PDO。
