频道栏目
首页 > 资讯 > 网站安全 > 正文

mysql防注入的sql语句写法

11-04-03        来源:[db:作者]  
收藏   我要投稿

经常听说sql注入式攻击,其实不是mysql独有的,所有的数据库都存在注入式攻击,包括mssql,oracle,db2等。

究竟是什么sql注入式攻击呢?
其实,它就是攻击者通过构建特殊的sql语句,进行数据库攻击,实际就是获取一些信息,或是修改一些数据,以达到攻击者目的。

防止攻击除了我们上次说的php安全之数据过滤之外,当然就是我们sql语句的写法了。

比如一个登录语句:

select * from user where username=$admin and pwd=$admin

通常我们都是这么写的是吧!

若是登录者提交过来的数据使我们的sql语句变成了以下形式:

select * from user where username=aa #and pwd=$admin;
select * from user where username=aa /*and pwd=$admin;

如果用户名对了,那是不是也能实现登录呢?

又如:select * from user where username=aa or 0=0 /*and pwd=$admin;
就算用户名不对,也可以登录了。

但如果我们将我们的语句改成:
select * from user where username=$admin ;

然后从数据库读出的密码同,用户提交过来的密码比对,是否更加安全一点点呢?

再加上我们的过滤函数safestr()

function safestr()

{

$re = "/(|%27|;|(%3d)|(|(%28)|)|(%29)|(/*)|(%2f%2a)|(%2a%2f)|+|(%2b)|(<|(%3e)|(%3e)|(--))|[|%5d)/";

if( preg_match( $re ,$username)

{

echo请不要非法sql注入;

exit;

}

else

{

return turn;

}

这也安全也都只是相对安全些,如果相对安全些,那么我们定的程序就更容易攻破一些对吧!

相关TAG标签
上一篇:LINUX查看硬件配置
下一篇:解析蜜罐的配置模式和信息收集
相关文章
图文推荐

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站