首页 > 编程源码 > 【路人系列】浅谈PHP防注入（程序猿必看）

【路人系列】浅谈PHP防注入（程序猿必看）

楼主：少羽✨ [3级] · 发表于2019-9-10 · 1523次浏览 · 编程源码 ID：

抱歉最近太忙了没有更新自己都没时间练习渗透

某年某月某日某时某分某秒，某人在阅读某PHP程序代码时，发现某处将输入“直接”带入查询语句，当他兴冲冲地抄起阿D时，却没有注入点(magic_quotes_gpc为off)。当他仔细查看代码时，也没发现过滤语句，这是怎么回事呢？实际上，这个程序用了预备查询技术。预备查询技术为何方神圣，且听危险漫步给各位慢慢道来。



预备查询技术实际上是将不完整的SQL语句（如：select * from xxx where id=?“？”是占位符）预先编译好，驻留于内存中，使用时不断将数据代入占位符并执行的一种技术。使用这种技术本意是想快速运行多个格式相同的SQL语句，但由于语句已经编译好，所以代人数据时就不存在数据与语句相混淆的情况，自然也就可以起到防注入的作用。预备查询技术是新版MySQLi库的亮点之一，在介绍预备查询技术之前，先简单说说MySQLi。


- 版权声明 - 1、本帖所有言论和图片等纯属网友个人意见，与流星社区立场无关；
2、其他单位或个人使用、转载或引用本帖时必须同时征得该帖子作者少羽✨和流星社区的同意；
3、备注原文地址：https://bbs.liuxingw.com/t/13716.html，可忽略第2条；
4、帖子作者需承担一切因本文发表而直接或间接导致的相关责任；
5、如本帖内容或部分内容转载自其它媒体，这并不代表本站赞同其观点和对其真实性负责；
6、如本帖若为资源类，将仅限用于学习和研究目的，您必须在下载后的24个小时之内，从您安装或使用的设备中彻底删除上述内容；
7、如果您喜欢该程序，请支持正版软件，购买注册，可以得到更好的正版服务；
8、如本帖侵犯到任何版权或违法问题，请立即邮件告知我们，我们将及时予以处理。

打赏楼主，让Ta更有动力发帖~

29条回复 |  最后回复于2019-9-10

你未来的帅老公 [1级]   回复于2019-9-10

转换二进制读取数据库，简单明了

回复列表

  • 内容加载中...

请输入回复内容

路过 [3级]   回复于2019-9-10

说得好，如果我能看懂就更好

回复列表

  • 内容加载中...

请输入回复内容

你未来的帅老公 [1级]   回复于2019-9-10

进制总不会运行吧

回复列表

  • 内容加载中...

请输入回复内容

你未来的帅老公 [1级]   回复于2019-9-10

一个进制转换能改变你

回复列表

  • 内容加载中...

请输入回复内容

路过 [3级]   回复于2019-9-10

不我是纯小白

回复列表

  • 内容加载中...

请输入回复内容

墨水带你说娱乐 [1级]   回复于2019-9-10

说得好 ，但是说了一大堆，一句没看懂

回复列表

  • 内容加载中...

请输入回复内容

你未来的帅老公 [1级]   回复于2019-9-10

他就是误导别人

回复列表

  • 内容加载中...

请输入回复内容

路过 [3级]   回复于2019-9-10

哦豁反正我也看不懂

回复列表

  • 内容加载中...

请输入回复内容

梦幻——泡影 [1级]   回复于2019-9-10

支持，虽然我看不懂

回复列表

  • 内容加载中...

请输入回复内容

【JC】小羽 [3级]   回复于2019-9-10

版主辛苦啦

回复列表

  • 内容加载中...

请输入回复内容
上一页 1 2 3 下一页
登录后才可进行评论
签到
18人签到
已签0天
  • 40853帖子
  • 1862536热点量
  • 528762火热值