2009/04/15
一直以来，有一个东西叫NCAP的东西，就是将一辆测试车以一定的速度往墙上撞，看最终的结果，通过各方面的评分，以判定该车在安全性能方面的水平如何。
其实，我前面已经发过一篇关于此问题的文章，见：http://spyrise.org/blog/NCAP-vehicle-safety-steel-plate-depth/ 。今天在KDS上发现一些更为详细的东东，蛮有用的，转载如下。
测试条件：两车的速度都是40mph，想当于65kph，然后相撞。共有三组对比车：丰田Camry vs 丰田Yaris、本田Accord vs 本田Fit、Mercedes C300 vs Mercedes Smart。
早先的汽车燃油箱大都是金属燃油箱。由于金属燃油箱在环保、安全性能等方面存在着很多缺陷，由此而导致了塑料燃油箱的诞生。世界上第一只汽车塑料燃油箱是由德国Volkswagen汽车公司、BASF公司和Kautex公司于20世纪60年代联合研究开发而成的，并在Porsche跑车上得到了成功的应用。到2001年为止，全世界塑料燃油箱的产量大约是3000万只左右。
塑料燃油箱通常包括单层和多层结构，目前最常见的多层燃油箱一般为六层。
随着环保要求越来越严格，对燃油箱的抗燃油渗漏性能提出了越来越高的要求。EUROI标准要求整车燃油箱总成的燃油渗漏﹤20g/24h； EUROII标准要求整车燃油箱总成的燃油渗漏﹤2g/24h； EURO III标准则要求整车燃油箱总成的燃油渗漏﹤0.2g/24h。EURO IV标准则似乎要求整车燃油箱总成的燃油渗漏﹤0.1g/24h。不过对于欧洲环保体系而言，0.1g已经是极限了。但在美国一些州（如加州），有更为严格的环保标准：LEV II甚至PZEV（排放量为零！）。我国的现状基本是参照欧洲的体系，推出相应的国一，国二，国三，国四，国五体系。
众所周知，燃油系统是整车污染排放中HC化合物的主要来源之一。研究表明，在整车HC化合物的排放量中，约有45%来自于燃油系统和曲轴箱，所以提高塑料燃油箱的防渗透性能就成为整车尾气排放达标的最直接、最有效和最重要的途径。为了降低整车燃油系统的渗透量,必须提高油箱的抗燃油渗漏性能，所以需要对单层油箱的表面进行处理。
$sql='UPDATE pw_user SET `onlineip`=$onlineip WHERE `uid`=$winduid';
再看$onlineip是怎么来的：
if($_SERVER['HTTP_CLIENT_IP'])
$onlineip=$_SERVER['HTTP_CLIENT_IP'];
else if($_SERVER['HTTP_X_FORWARDED_FOR'])
$onlineip=$_SERVER['HTTP_X_FORWARDED_FOR'];
else
$onlineip=$_SERVER['REMOTE_ADDR'];
$onlineip =substrs($onlineip,16);
十六个字节，够提升权限的了吧？抓包提交HTTP_X_FORWARDED_FOR。
这类文章用于说明PHP的漏洞、PHP安全性不如ASP或JSP，那就说明你就是个人云亦云的外行！
这只能说明在处理SQL语句时一定要检查SQL语句中变量的真实情况罢了。
再次请编程人员记住：客户端返回的数据都是不可信的，一定要再三校验，尤其是处理SQL（尤其是update或set等更新数据库的语句）！
但是，连这样普通的一个判断用户真实IP的代码，都有可能被伪造，说明了其实潜在的危险还是蛮大的。
所以在SQL执行插入前，一定要用合适的方法先进行校验，而且SQL中变量两端加上引号！本例中如果变量加上引号，应该问题也会好一点。不过加上引号，恶意用户也能在$onlineip中加入引号以提前结束SQL的。这里显示应该用正则来检验/^[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}$/。
