SQL 주입은 어떻게`mysql_real_escape_string ()`?를 우회 할 수 있습니까?

SQL 주입에 대한 기능 를 우회하기 위해 유효하지 않은 다중 섹션 문자 사용 함수가 사용 되더라도 SQL 주입이 발생할 수 있습니다. 다음 단계는이 기능을 우회하는 방법을 보여줍니다.

공격하기 쉬운 코딩으로 서버 문자를 설정하십시오.

mysql_real_escape_string() 잘못된 멀티 비트 문자를 포함하는 공격 하중 :

쿼리를 수행하기 위해 준비되지 않은 공격 부하를 사용하여 : mysql_real_escape_string()

1. 함수의 회전 작동은 현재 사용되는 문자 세트에 따라 다릅니다. 그러나이 예에서 연결은 공격하기 쉬운 문자 세트 (예 : GBK)를 사용하여 유효하지 않은 멀티 라인 문자를 생성 할 수 있습니다. 따라서, 주입 하중이 올바르게 전달되지 않았으므로 주입 공격이 성공적으로 발생합니다.

   안전 조치

   이러한 주사 공격을 방지하려면 다음 조치를 취하십시오. </prevent></meas></p> 안전한 문자 : <pre class="brush:php;toolbar:false"><code class="language-sql">mysql_query('SET NAMES gbk');</code>

   로그인 후 복사
   utf8 또는 latin1과 같이 공격하기 쉽지 않은 문자 세트를 선택하십시오.
enable no_backslash_escapes SQL 모드 :
2. 회전 과정에서 유효하지 않은 문자를 방지합니다.

   PDO를 사용하고 비활성화 시뮬레이션 사전 프로세싱 문화 : PDO는 잠재적 인 주입 취약점을 방지하기 위해 실제 사전 처리 문장을 제공합니다. 새 버전의 MySQL (5.1 이상) : 이 버전은 위의 언급 된 주입 공격을 허용하는 취약점을 수정합니다.

위 내용은 SQL 주입은 어떻게`mysql_real_escape_string ()`?를 우회 할 수 있습니까?의 상세 내용입니다. 자세한 내용은 PHP 중국어 웹사이트의 기타 관련 기사를 참조하세요!