便宜VPS网phpwind9.x和8.7XSS注入以及管理后台脚本注入漏洞
1、phpwind近期公布了2处安全漏洞，分别是富文本编辑器发帖的xss注入（受影响版本X）以及管理后台添加新用户时的脚本注入（受影响版本7）。
2、第一种：对普通的用户输入，页面原样内容输出。打开http：//go.ent.16com/goproducttest/test.jsp(限公司IP)，输 入：alert(‘xss’)， JS脚本顺利执行。
3、防御SQL注入。避免SQL注入漏洞使用预编译语句 使用安全的存储过程 检查输入数据的数据类型 从数据库自身的角度考虑，应该使用最小权限原则，不可使用root或dbowner的身份连接数据库。
4、表示查询id为100的用户信息，如果id=100变为 id=100 or 2=2，sql将变为：select * from user where id=100 or 2=2，将把所有user表的信息查询出来，这就是典型的sql注入。
5、这样可以有效防止SQL注入攻击。启用安全策略网站管理员需要启用安全策略，比如设置HTTP响应头、使用防火墙等，来保护网站的安全。
6、根据XSS脚本注入方式的不同，我们可以对XSS攻击进行简单的分类。其中，最常见的就数反射型XSS和存储型XSS了。反射型XSS 反 射型XSS，又称非持久型XSS。
php-fpm的FAQ
php-fpm 的架构和任何一种用于高速 opcode 缓存的共享内存都适用。
php-fpm在编译php时需要添加--enable-fpm。一些通用的集成安装包如lnmp、phpStudy等都会默认编译并使用php-fpm，毕竟是标配。上文中说过nginx可以使用10.1：9000和unix：/tmp/php-cgi.sock这两种方式来调用php-fpm。
代码缓存：使用ZendOpache、apcu来缓存代码和对象。各参数在/etc/php5/fpm/conf.d下面可调。页面缓存：使用nginx自带的fastcgicache缓存页面。调整php-fpm的参数。
php-fpm程序也如同nginx一样，需要监听端口，并且有master和worker进程。worker进程直接管理每一个php进程。关于fastcgi：fastcgi是一种进程管理器，管理cgi进程。
FPM（FastCGI 进程管理器）用于替换 PHP FastCGI 的大部分附加功能，对于高负载网站是非常有用的。
php-fpm 是在数个项目中使用 PHP 的 FastCGI SAPI 中的知识、经验和想法的产物。php-fpm 可以在 GPL 协议下用在公共用途。和 php-fpm 绑定的修改版的libevent是在 BSD 协议下发布的。
什么是PHP?
PHP 是一种 HTML 内嵌式的语言，PHP与微软的ASP颇有几分相似，都是一种在服务器端执行的嵌入HTML文档的脚本语言，语言的风格有类似于C语言，现在被很多的网站编程人员广泛的运用。
php的意思是：php，又称超文本预处理器，是一种通用开源脚本语言。其是在服务器端执行的脚本语言，与C语言类似，是常用的网站编程语言。php介绍：PHP即“超文本预处理器，是一种通用开源脚本语言。
PHP是一种编程语言。PHP（全称：PHP：Hypertext Preprocessor，即“PHP：超文本预处理器”）是一种开源的通用计算机脚本语言，尤其适用于网络开发并可嵌入HTML中使用。
PHP（外文名：PHP： Hypertext Preprocessor，中文名：“超文本预处理器”）是一种通用开源脚本语言。语法吸收了C语言、Java和Perl的特点，利于学习，使用广泛，主要适用于Web开发领域。
