Web 安全开发注意事项
来源:互联网 发布:网络机顶盒如何接音响 编辑:程序博客网 时间:2024/05/01 18:28
1.sql注入
这个很常规了,不要拼字符串以及过滤关键字都可以防住,需要注意的是,Cookie提交的参数也是可以导致注入漏洞的。
(1)mysql_real_escape_string
转义 SQL 语句中使用的字符串中的特殊字符,并考虑到连接的当前字符集
使用方法如下:
$sql = "select count(*) as ctr from users where username='".mysql_real_escape_string($username)."' andpassword='". mysql_real_escape_string($pw)."' limit 1";mysql_real_escape_string()
作为用户输入的包装器,就可以避免用户输入中的任何恶意 SQL 注入。
(2) 打开magic_quotes_gpc来防止SQL注入 php.ini中有一个设置:magic_quotes_gpc = Off
这个默认是关闭的,如果它打开后将自动把用户提交对sql的查询进行转换,
比如把 ' 转为 \'等,对于防止sql注射有重大作用。
如果magic_quotes_gpc=Off,则使用addslashes()函数
(3)自定义函数
function inject_check($sql_str) { return eregi('select|insert|and|or|update|delete|\'|\/\*|\*|\.\.\/|\.\/|union|into|load_file|outfile', $sql_str);} function verify_id($id=null) { if(!$id) { exit('没有提交参数!'); } elseif(inject_check($id)) { exit('提交的参数非法!'); } elseif(!is_numeric($id)) { exit('提交的参数非法!'); } $id = intval($id); return $id; } function str_check( $str ) { if(!get_magic_quotes_gpc()) { $str = addslashes($str); // 进行过滤 } $str = str_replace("_", "\_", $str); $str = str_replace("%", "\%", $str); return $str; } function post_check($post) { if(!get_magic_quotes_gpc()) { $post = addslashes($post); } $post = str_replace("_", "\_", $post); $post = str_replace("%", "\%", $post); $post = nl2br($post); $post = htmlspecialchars($post); return $post; }
0 0
- Web安全开发注意事项
- Web安全开发注意事项
- Web 安全开发注意事项
- Web安全开发注意事项
- WEB开发中安全注意事项
- WEB开发中安全注意事项
- 安全开发相关注意事项
- java web项目安全注意事项
- Servlet线程安全开发注意事项
- WEB前端开发注意事项
- web game 开发注意事项
- web 开发注意事项
- web game 开发注意事项
- java web,开发注意事项
- web安全开发手册
- Web软件开发中注意事项
- 笔记之WEB开发注意事项
- dorado7 开发web 注意事项(一)
- 用autoIt自动制作AFP考试的理财案例(1)
- RAMDISK 内存盘工具推荐
- 我的Emacs配置文件(备份)
- hdu 5945 Fxx and Game dp(单调队列优化)
- 代码规范(一)
- Web 安全开发注意事项
- c++面试被问到了++i与i++的效率高低
- 利用JavaScript实现,点击图片转到下一个图片
- iOS 开发 APP应用发布流程详解之证书/配置文件--2016最新版
- 续:Linux 系统命令
- jsp
- macos新建文本文件
- Longest Substring Without Repeating Characters-----LeetCode
- file文件