网站出有关问题了，有漏洞，今天来这里请csdn的兄弟帮忙解决
内容导读
互联网集市收集整理的这篇技术教程文章主要介绍了网站出有关问题了，有漏洞，今天来这里请csdn的兄弟帮忙解决，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含1600字，纯文字阅读大概需要3分钟。
内容图文
网站出问题了，有漏洞，今天来这里请csdn的兄弟帮忙解决我做了个保健品站 http://www.bjp51.net 这两天有点问题，用360一扫，高危，只有49分，报告如下：
第一个是很严重的问题，今天想把第一个问题解决了。
看下360给出的意见
我不知道怎么改，希望大家帮忙解决下。
------解决方案--------------------
$id='';
if(!empty($_POST['id'])){
for($i=0; $i
}
$id=substr($id,0,strlen($id)-1);//去除最后面的","
}
$sql="select * from zzcms_main where id in ($id)"
他认为你未经检查就在 sql 指令中使用了传入的数据
------解决方案--------------------
SQL注入的原理是，从地址栏或者表单中注入
如果你从地址栏得到一个$_GET["a"]，不经过过滤就直接使用到程序中，就会造成威胁。比如：
如果$_GET["a"]=1；那么:
$sql = "SELECT * FROM AA WHERE id =$_GET["a"]";就是$sql = "SELECT * FROM AA WHERE id =1";
但如果别人通过地址栏自行修改，把$_GET["a"]的值改为1 or （and） XXX各类代码，那这个查询语句就变成
$sql = "SELECT * FROM AA WHERE id =1 or（and） xxx";
于是就中招了。
所以地址栏和表单得到的参数，一定要格式化，过滤好，指定是什么类型，多长，限制哪些字符……
------解决方案--------------------
$sql="select * from zzcms_main where id in ($id)" ;
$id沒有進行過濾，用戶輸入什麼都可以，當然被注入了。
因為id只能是數字，所以可以用intval轉成數字，如果非數字會轉為0，這樣就注入不到了。
------解决方案--------------------
传入的数据把单引号替换为两个连续的单引号 ， sql语句用传入的参数时加上单引号。
$id = str_replace("'","''",$_POST['id']);
$sql = " select * from tb_user wher id='$id' ";
这样就不怕注入了。
------解决方案--------------------
if(!empty($_POST['id'])) {
$id = join(',', array_map('intval', $_POST['id']));
}
最好把 $id 换个名字
内容总结
以上是互联网集市为您收集整理的网站出有关问题了，有漏洞，今天来这里请csdn的兄弟帮忙解决全部内容，希望文章能够帮你解决网站出有关问题了，有漏洞，今天来这里请csdn的兄弟帮忙解决所遇到的程序开发问题。 如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。
内容备注
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。
内容手机端
扫描二维码推送至手机访问。
来源：【匿名】