XSS攻擊
原理：
XSS又叫CSS (Cross Site Script) ，跨站腳本攻擊。它指的是惡意攻擊者往Web頁面里插入惡意html代碼，當用戶瀏覽該頁之時，嵌入其中Web里面的html代碼會被執行，從而達到惡意攻擊用戶的特殊目的。xss漏洞一般發生於與用戶交互的地方。
危害：
惡意彈出消息框，影響用戶體驗
獲取用戶的cookie或者ajax請求攻擊者的服務器竊取用戶信息
可以使用ajax不斷調用被攻擊網站的某個接口，嚴重的可能導致帶寬被打滿無法正常處理用戶的請求，除此之外也可以通過調用被攻擊網站的某個接口來實現一些個人利益比如在社交網站偽造數據提高影響力等。
預防辦法：
參數驗證，只接受用戶輸入我們期待的值
使用htmlspecialchars函數將用戶輸入的HTML標簽實體化
CSRF攻擊
原理：
CSRF（Cross-site request forgery），中文名稱：跨站請求偽造，就是冒充用戶發請求。比如：灌水機器人等。
危害：
服務器處理大量虛假的請求數據庫儲存過多垃圾信息影響服務器處理正常請求的性能
預防辦法：
暫時的方法：分析日志找到發送請求的ip，禁止訪問；
驗證碼：設置機器難以識別的驗證碼，比如摻雜中文的驗證碼，拖動的驗證碼等；
設置token驗證，基本原理是通過比較隱藏的表單傳過來的用戶發出請求的時間與收到請求時的時間比較，允許一定范圍的延時，防止被破解可以加入秘鑰和隨機字符串。（time（）->md5(秘鑰).time()->rand.substr(md5(rand秘 鑰),0,10).time()）
SQL注入
原理：
SQL Injection：是一種利用未過濾/未審核用戶輸入的攻擊方法，通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務器執行惡意的SQL命令。
例子：
SQL注入一般是利用‘’或者“”拼接SQL語句或者–注釋掉原有的SQL語句，減少查詢的條件獲取更多信息或者嘗試猜測表名，一旦知道表名就可以對表做增刪改查等各種操作。下面是幾個常見的SQL注入的例子：
1）將查詢的where條件變成恆真，
正常的SQL查詢語句(xxx為用戶要輸入的內容）：
SELECT fieldlist FROM table WHERE fieldname='xxx';
1
如果輸入 xxx’ or ‘1’='1,SQL語句就變成了
SELECT fieldlist FROM table WHERE fieldname='xxx' or '1'='1';
1
這樣的話where條件就不起作用了。
2）猜字段名(–注釋掉后面的內容）
SELECT fieldlist FROM table WHERE fieldname = 'xxx' AND userid IS NULL; --';
SELECT fieldlist FROM table WHERE fieldname = 'xxx' AND email IS NULL; --';
SELECT fieldlist FROM table WHERE fieldname = 'xxx' AND password IS NULL; --';
SELECT fieldlist FROM table WHERE fieldname = 'xxx' AND loginid IS NULL; --';
上面的語句如果正常執行的話，就說明我們猜測的字段名字是正確的，否則說明猜錯了，繼續猜。
3）跟上面同樣的道理，利用子查詢猜測表名：
SELECT fieldlist FROM table WHERE fieldname = 'xxx' AND 1=(SELECT COUNT(*) FROM tabname); --';
根據經驗推斷表名，進行嘗試，我們並不關心表里面有多少條記錄而是判斷當前的表名是不是我們猜測的這個。
4）除了對表進行增刪改查以外實際上還可修改數據庫
SELECT fieldlist FROM table WHERE fieldname = 'xxx'; DROP TABLE members; --';
利用 ; 結束上一條語句，在–注釋掉后面的語句執行單行多條語句，可能會惡意修改數據庫或者更新某個字段的內容。
危害：
// 數據庫信息泄漏：數據庫中存放的用戶的隱私信息的泄露。
// 網頁篡改：通過操作數據庫對特定網頁進行篡改。
// 網站被掛馬，傳播惡意軟件：修改數據庫一些字段的值，嵌入網馬鏈接，進行掛馬攻擊。
// 數據庫被惡意操作：數據庫服務器被攻擊，數據庫的系統管理員帳戶被竄改。
// 服務器被遠程控制，被安裝后門。經由數據庫服務器提供的操作系統支持，讓黑客得以修改或控制操作系統。
// 破壞硬盤數據，癱瘓全系統。
預防辦法：
// 參數綁定，預處理。
// 一定要接SQL語句拋出的異常，否則容易泄露表名、字段名、數據庫服務器等信息
session文件漏洞
Session攻擊是黑客最常用到的攻擊手段之一。當一個用戶訪問某一個網站時，為了免客戶每進人一個頁面都要輸人賬號和密碼，PHP設置了Session和Cookie用於方便用戶的使用和訪向。
對於Session漏洞的防范:
從前面的分析可以知道，Session攻擊最常見的就是會話劫持，也就是黑客通過各種攻擊手段獲取用戶的Session ID，然后利用被攻擊用戶的身份來登錄相應網站。為此，這里可以用以下幾種方法進行防范:一是定期更換Session ID，更換Session ID可以用PHP自帶函數（session_id()）來實現;
二是更換Session名稱，通常情況下Session的默認名稱是PHPSESSID，這個變量一般是在cookie中保存的，如果更改了它的名稱，就可以阻檔黑客的部分攻擊;
三是對透明化的Session ID進行關閉處理，所謂透明化也就是指在http請求沒有使用cookies來制定Session id時，Sessioin id使用鏈接來傳遞.關閉透明化Session ID可以通過操作PHP.ini文件來實現;四是通過URL傳遞隱藏參數，這樣可以確保即使黑客獲取了session數據，但是由於相關參數是隱藏的，它也很難獲得Session ID變量值。
全局變量漏洞
PHP中的變量在使用的時候不像其他開發語言那樣需要事先聲明，PHP中的變量可以不經聲明就直接使用，使用的時候系統自動創建，而且也不需要對變量類型進行說明，系統會自動根據上下文環境自動確定變量類型。這種方式可以大大減少程序員編程中出錯的概率，使用起來非常的方便。
對全局變量漏洞防范:
對於PHP全局變量的漏洞問題，以前的PHP版本存在這樣的問題，但是隨着PHP版本升級到5.5以后，可以通過對php.ini的設置來實現，設置ruquest_order為GPC。另外在php.ini配置文件中，可以通過對magic_quotes_runtime進行布爾值設置是否對外部引人的數據中的溢出字符加反斜線。為了確保網站程序在服務器的任何設置狀態下都能運行。可以在整個程序開始的時候用get_magic_quotes_runtime檢測設置狀態決定是否要手工處理，或者在開始(或不需要自動轉義的時候)用set_magic_quotes_runtime(0)關掉。
文件漏洞
文件漏洞通常是由於網站開發者在進行網站設計時對外部提供的數據缺乏充分的過濾導致黑客利用其中的漏洞在Web進程上執行相應的命令。假如在lsm.php中包含這樣一段代碼:include($b."/aaa.php".)，這對黑客來說，可以通過變量$b來實現遠程攻擊，可以是黑客自已的代碼，用來實現對網站的攻擊。可以向服務器提交a.php include=http://lZ7.0.0. 1/b.php,然后執行b.php的指令。
對文件漏洞的防范:
對於PHP文件漏桐可以通過對服務器進行設置和配置來達到防范目的。這里具體的操作如下:
一是把PHP代碼中的錯誤提示關閉，這樣可以避免黑客通過錯誤提示獲取數據庫信息和網頁文件物理路徑;
二是對open_basedir盡心設置，也就是對目錄外的文件操作進行禁止處理;這樣可以對本地文件或者遠程文件起到保護作用，防止它們被攻擊，這里還要注意防范Session文件和上載文件的攻擊;
三是把safe-made設置為開啟狀態，從而對將要執行的命令進行規范，通過禁止文件上傳，可以有效的提高PHP網站的安全系數。