【sql注入与转义的php函数代码_PHP教程】教程文章相关的互联网学习教程文章

php – mysql注入损害赔偿?

我只是注意到我的mysql_real_escape_string函数不在我的一些PHP脚本中,并且它很容易受到注入以及在我的生产站点上执行的睡眠(30)之类的事情. 我正在进行PDO路由,并在经过大量阅读后实现准备好的语句.但这还没有实现. 几乎没有问题,我在日志中看到很多注射都是由人在线完成但我看不到任何损害.站点运行以执行sql查询的用户具有更新/选择/删除/仅插入权限. 但我担心像睡觉(30)和什么不起作用,如果他们做了任何损害我没有看到?您能告...

php – 通过URL参数进行SQL注入【代码】

参见英文答案 > How can I prevent SQL injection in PHP? 28个我刚刚在我的webstats中看到有人在一个url参数中附加了很多SQL代码.网址如下所示:http://www.example.com/page.php?id=672%3f%20and%28select%201%20from%28select%20count%28*%29%2cconcat%28%28select%20%28select%20concat%280x7e%2c0x27%2cunhex%28hex%28cast%28database%28%29%20as%20char%29%29%29%2c0x27%2c0x7e%29%29%20...

php – 我的SQL注入似乎不起作用?【代码】

我必须为学校做一个关于许多不同的Web漏洞(SQL,XSS,CSRF等)的项目,我已经建立了一个非常简单的网站来演示攻击.但由于某种原因,我无法通过攻击登录来获得SQL注入. 这是简单的登录代码:$query = "SELECT * FROM customer WHERE cMAIL='$cmail' AND cPWD='$cpwd'"; $res = mysql_query($query) or die(mysql_error()); echo $query . mysql_error(); $count = mysql_num_rows($res);if ($count == 1) {echo " Reached target!";sessi...

php – sql注入易受攻击的代码,即使我们正在清理输入mysql_real_escape_string【代码】

我们受到了什么攻击,那些黑客从一个下面显示代码的页面进入系统,但我们无法弄清楚这段代码中的实际问题.你能指出这个代码中的问题,还有可能解决的问题<?php //login.php page code //... $user = $_POST['user']; $pass = $_POST['password']; //... mysql_connect("127.0.0.1","root",""); mysql_select_db("xxxx");$user = mysql_real_escape_string($user); $pass = mysql_real_escape_string($pass); $pass = hash("sha1",$p...

php – 准备好的语句是否完全保护我的网站免受MySQL注入?【代码】

我正在使用预处理语句和MySQLi查询以防止注入攻击.准备好的语句是否完全不需要mysql_real_escape_string?在保护我的网站时还有什么我应该考虑的吗?解决方法:只要您正确使用准备好的陈述,他们就会.您必须确保绑定所有外部变量,而不是直接将它们放在查询中. 例如$stmt = $mysqli->prepare("SELECT District FROM City WHERE Name=" . $name);这个语句正在准备中,但它没有使用其中一种绑定方法,所以它没有用.它仍然容易受到SQL注入攻...

php – 这是一种过滤数据并防止SQL注入和其他攻击的安全方法吗?【代码】

我创建了两个简单的函数来过滤插入的数据,然后输入到mysql查询中. 对于formfields(我也使用正则表达式来单独检查每个字段.// Form filter function filter($var) { // HTML is not allowed$var = strip_tags(trim($var)); // Check magic quotes and stripslashesif(get_magic_quotes_gpc()){ $var = stripslashes($var); }// Not using it right now, is it recommended?// $var = htmlentities($var, ENT_QUOTES)...

php – 如果我删除所有特殊字符,可以使用Sql注入?【代码】

参见英文答案 > How can I prevent SQL injection in PHP? 28个如果我删除字符串中的所有特殊字符比没有任何SQL注入的机会??(我的输入中不需要任何特殊字符) 我正在使用以下代码删除所有特殊字符$unsafe = $_GET["tag"]; $safe = preg_replace('/[^a-zA-Z0-9 ]/s', '', $unsafe); $safe = mysql_real_escape_string($safe);有没有机会进行SQL注入?解决方法:如果你使用mysql_real_escape_strin...

php – 合并变量是否可以安全地防止SQL注入?【代码】

我有一些用户输入$place = $_POST["errorreport_place"]; $os = $_POST["errorreport_os"]; $browser = $_POST["errorreport_browser"]; $text_user = $_POST["errorreport_text_user"]; $section = $_GET["section"];和一些不是由用户创建的会话变量(它们来自数据库)$user_id = $_SESSION["user_id"]; $username = $_SESSION["username"];现在我将所有这些用户创建的变量合并为一个文本字符串$text = "ERROR REPORTED BY $usernam...

如何保护您的网站免受PHP中的本地文件包含和SQL注入?

如何保护您的网站免受本地文件包含和SQL注入(PHP)?解决方法:有许多措施可以采取.在存储到数据库之前,请务必清理所有输入.我建议在将要存储的所有数据上使用mysql_real_escape_string().将字符输入限制为合理的长度,并确保获得该字段期望的数据类型.锁定多次尝试提交特定数据区域.抓取上传文件的内容以查找恶意模式. Wikibooks有一章关于SQL注入; > http://en.wikibooks.org/wiki/Programming:PHP:SQL_Injection 这个清单一直在继续...

php – “mysqli_real_escape_string”是否足以避免SQL注入或其他SQL攻击?【代码】

这是我的代码:$email= mysqli_real_escape_string($db_con,$_POST['email']);$psw= mysqli_real_escape_string($db_con,$_POST['psw']);$query = "INSERT INTO `users` (`email`,`psw`) VALUES ('".$email."','".$psw."')";有人可以告诉我它是否安全,或者它是否容易受到SQL注入攻击或其他SQL攻击?解决方法:Could someone tell me if it is secure or if it is vulnerable to the SQL Injection attack or other SQL attacks ?正如...

php – 这是否可以阻止sql注入【代码】

我一直在使用下面的代码块来假设停止sql注入.当我第一次启动php时(这不是很久以前)有人给我看的东西 我将它放在每个页面中,就像打开时所示.我想知道它是否有效?我不知道如何测试sql注入<?php//Start the sessionsession_start();//=======================open connectioninclude ('lib/dbconfig.php');//===============This stops SQL Injection in POST varsforeach ($_POST as $key => $value) {$_POST[$key] = mysql_real_es...

php – sql注入更改返回值【代码】

我最近想过这样的事情:$sql = "SELECT password FROM users WHERE user = '" . $_POST["user"] . "'"; $result = mysql_query($sql);if (myql_num_rows($result) != 1) { //Error }$data = mysql_fetch_array($result);if ($data["password"] == md5($_POST["password"])) { //Welcome } else { //Error }即使没有使用参数化查询或至少转义,我也想不到一个适当的sql注入,你可以通过它注入欢迎点.您可能需要修改返回的密码,其md5值...

php – 在用户生成的SQL-regex中避免SQL注入【代码】

我正在创建一个站点,其中用户不幸地必须提供在MySQL WHERE子句中使用的正则表达式.当然,我必须验证用户输入以防止SQL注入.该网站是用PHP制作的,我使用以下正则表达式检查我的正则表达式:/^([^\\\\\']|\\\.)*$/由于PHP处理正则表达式的方式,这是双重转义.它应该工作的方式是只匹配安全的正则表达式,而没有未转义的单引号.但大多数是自学成才,我想知道这是否是一种安全的方式.解决方法:如果使用预准备语句,则无法进行SQL注入.您应该...

GET参数易受SQL注入攻击 – PHP【代码】

我被要求处理由另一个程序员设置的网站的安全问题.到目前为止,我还没有看到任何代码,所以我在这一点上做了假设,我想覆盖我的基础.托管该站点的组进行了安全检查,发现他们的代码容易受到SQL注入攻击. 示例:www.example.com/code.php?pid = 2& ID = 35(GET参数ID易受SQL注入攻击) 现在,因为我是新手,我已经解释过我可以解决主机问题,但是他们的网站仍然需要被更深入的安全知识的人查看. 因此,为了处理潜在的SQL注入(并且没有看到代...

考虑到SQL注入,这种PHP登录技术是否安全?【代码】

我正在调查很久以前由一些PHP开发人员编写的网站,我想知道他使用的登录技术是否安全. 这是他做的方式:$username=''; $username = escapeshellcmd($HTTP_POST_VARS['user']); $pwd = escapeshellcmd($HTTP_POST_VARS['pw']);$loginerror=false;if ($logout=="1") {closesession($s_id);$username='';$logged=false; }$logged=checksession(session_id(), $ipaddr);if ((!$logged) && ($username!='')) {//$username = escapeshellc...