PHP与SQL注入攻击[三]
来源:互联网 发布:作家出版社知乎 编辑:程序博客网 时间:2024/06/04 18:26
这几天太忙,继续连载哈哈,争取半个月结束。
上文说到数据库自带的不安全输入过滤功能,但这样的功能不是所有数据库都有的。目前大概只有MySQL,SQLite,PostgreSQL,Sybase带有这样的功能,而包括Oracle和SQL Server在内的很多数据库都没有。
鉴于这样的情况,一般开发者采用一种通用的方法来避免不安全的数据写入数据库--base64编码。这样可以避免所有可能引起问题的特殊字符造成的危险。但Base64编码后的数据容量大概会增加33%,比较占用空间。在PostgreSQL中,使用Base64编码数据还有个问题,就是无法使用'LIKE'查询。
所以总结这么多,我们知道光靠数据库自身的字符串屏蔽也是不行的。我们需要一种解决方案,在特殊字符影响到我们的Query语句之前,就把危险的字符过滤掉。预定义查询(Prepared queries/prepared statements)是一个非常好的方法。什么是预定义查询呢? 它就相当于一个查询语句的模板,定义了查询语句的结构和某些部份的数据类型。如果我们提交的SQL语句符合这个模板的定义,就执行,否则就不执行,报出错误。
例如:
pg_query($conn, “PREPARE stmt_name (text) AS SELECT * FROM users WHERE name=$1”);
pg_query($conn, “EXECUTE stmt_name ({$name})”);
pg_query($conn, “DEALLOCATE stmt_name”);
PREPARE stmt_name (text) AS ..定义了一个查询的格式,这里除了$1之外的所有字符都是占位符,不允许更改。呵呵,我觉得这种方法实在是个好方法。不过可惜不是所有数据库都支持。。
上文说到数据库自带的不安全输入过滤功能,但这样的功能不是所有数据库都有的。目前大概只有MySQL,SQLite,PostgreSQL,Sybase带有这样的功能,而包括Oracle和SQL Server在内的很多数据库都没有。
鉴于这样的情况,一般开发者采用一种通用的方法来避免不安全的数据写入数据库--base64编码。这样可以避免所有可能引起问题的特殊字符造成的危险。但Base64编码后的数据容量大概会增加33%,比较占用空间。在PostgreSQL中,使用Base64编码数据还有个问题,就是无法使用'LIKE'查询。
所以总结这么多,我们知道光靠数据库自身的字符串屏蔽也是不行的。我们需要一种解决方案,在特殊字符影响到我们的Query语句之前,就把危险的字符过滤掉。预定义查询(Prepared queries/prepared statements)是一个非常好的方法。什么是预定义查询呢? 它就相当于一个查询语句的模板,定义了查询语句的结构和某些部份的数据类型。如果我们提交的SQL语句符合这个模板的定义,就执行,否则就不执行,报出错误。
例如:
pg_query($conn, “PREPARE stmt_name (text) AS SELECT * FROM users WHERE name=$1”);
pg_query($conn, “EXECUTE stmt_name ({$name})”);
pg_query($conn, “DEALLOCATE stmt_name”);
PREPARE stmt_name (text) AS ..定义了一个查询的格式,这里除了$1之外的所有字符都是占位符,不允许更改。呵呵,我觉得这种方法实在是个好方法。不过可惜不是所有数据库都支持。。
- PHP与SQL注入攻击[三]
- PHP与SQL注入攻击
- PHP与SQL注入攻击
- PHP与SQL注入攻击
- PHP与SQL注入攻击
- PHP与SQL注入攻击
- PHP与SQL注入攻击
- PHP与SQL注入攻击
- PHP与SQL注入攻击
- PHP与SQL注入攻击
- PHP与SQL注入攻击
- PHP与SQL注入攻击
- PHP与SQL注入攻击[一]
- PHP与SQL注入攻击[二]
- PHP防SQL注入攻击
- SQL注入攻击:php篇
- PHP中SQL注入与跨站攻击的防范
- SQL注入攻击与防御
- 反射时用SetValue方法,报“不能从目标类型扩展到基元类型”
- 用户登陆与验证的简单实现
- javascript 中汉字显示问题
- 《C++捷径教程》读书笔记--Chapter 1--C++的发展历史
- .NET Remoting Channel Listener
- PHP与SQL注入攻击[三]
- 使用 Microsoft .NET框架精简版编写移动游戏
- 紧记17条,立志做美人
- J2ME小技巧——使用WTK的内存监视器
- 一个人的旅行(2)
- 急躁的人们,淡漠的人际
- 秋来也秋去
- 中国不可以依赖windows,中国的希望在linux
- VB.NET实现DirectPlay(1)枚举设备