一、全局變量
register_global 可以設置成off或者on ,默認為off,決定是否將 EGPCS(Environment,GET,POST,Cookie,Server)變量注冊為全局變量。
如果 register_globals打開的話, 客戶端提交的數據中含有GLOBALS變量名, 就會覆蓋服務器上的$GLOBALS變量。
由此引起的安全問題成為PHP的“自動全局變量漏洞”,請一定要關掉register_globals選項。并且使用 $_GET, $_POST, $_COOKIE 而非 $_REQUEST
漏洞代表:discuz 6.x/7.x php版本在5.3以上,request_order默認值為GP,即默認配置下$_REQUEST只包含$_GET和$_POST而不包括$_COOKIE。借助COOKIE即可提交GLOBALS變量。