【路人系列】浅谈PHP防注入（程序猿必看）

抱歉最近太忙了没有更新自己都没时间练习渗透

某年某月某日某时某分某秒，某人在阅读某PHP程序代码时，发现某处将输入“直接”带入查询语句，当他兴冲冲地抄起阿D时，却没有注入点(magic_quotes_gpc为off)。当他仔细查看代码时，也没发现过滤语句，这是怎么回事呢？实际上，这个程序用了预备查询技术。预备查询技术为何方神圣，且听危险漫步给各位慢慢道来。



预备查询技术实际上是将不完整的SQL语句（如：select * from xxx where id=?“？”是占位符）预先编译好，驻留于内存中，使用时不断将数据代入占位符并执行的一种技术。使用这种技术本意是想快速运行多个格式相同的SQL语句，但由于语句已经编译好，所以代人数据时就不存在数据与语句相混淆的情况，自然也就可以起到防注入的作用。预备查询技术是新版MySQLi库的亮点之一，在介绍预备查询技术之前，先简单说说MySQLi。