mysql like 防注入,三十九、MySQL 安全及防止 SQL 注入攻击

太过爱你忘了你带给我的痛 2023-01-13 13:56 284阅读 0赞

如果通过网页获取用户输入的数据并将其插入 MySQL 数据库，那么就有可能发生 SQL注入攻击的安全问题

作为研发，有一条铁律需要记住，那就是

永远不要相信用户的数据，哪怕他一再承诺是安全的

SQL 注入式攻击

SQL 注入，就是通过把 SQL 命令插入到 Web 表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的 SQL 命令

比如有一个表单，用户可以输入 name

$name = $\_GET\['name'\];

$dbh->query("SELECT \* FROM users WHERE name='\{$name\}'");

那么当用户输入的 name 为 Python'; DELETE FROM user;' 时会变成什么？

SELECT \* FROM users WHERE name='Python'; DELETE FROM user;'';

这条语句运行一下，会发现什么？ 我们的 user 表被清空啦，很可怕，对不对

所以我们需要对用户的输入进行过滤处理

例如下面的 PHP 语句，要求用户输入的名称 name 必须是字母、数字及下划线的组合，且用户名长度为 8 到 20 个字符之间

if (preg\_match("/^\\w\{8,20\}$/", $\_GET\['name'\], $matches))

$dbh->query("SELECT \* FROM tbl\_language WHERE name=$matches\[0\]");

else

echo "username 输入异常";

防止 SQL 注入要诀

防止 SQL 注入，我们需要注意以下几个要点

1、 永远不要信任用户的输入

对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和双 "-" 进行转换等

2、 永远不要使用动态拼装 SQL ，可以使用 SQL 预处理语句

3、 永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接

4、 不要把机密信息直接存放，加密或者 hash 掉密码和敏感的信息

5、 应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装

6、 SQL 注入的检测方法一般采取辅助软件或网站平台来检测

防止 SQL 注入

Perl和 PHP 中可以对用户输入的数据进行转义从而来防止 SQL 注入

PHP 中可以使用 PHP\_PDO 的 PDO:prepare() 方法来预处理 SQL 语句，然后使用 PDOStatement::bindParam() 方法绑定参数，或者在 PDOStatement::execute() 传入参数来预防 SQL 注入

$stmt = $dbh->prepare("SELECT \* FROM tbl\_language WHERE name=?");

$stmt->execute(array$\_GET\['name'\]));

LIKE 子句语句中的 SQL 注入

使用 LIKE 子句查询时，如果用户输入的值有 \_ 或 %，则会出现下面这种情况

用户本来只是想查询 abcd%，查询结果中却有 abcd\_、abcde、abcdf 等等

PHP 脚本中，我们首先要使用 addcslashes($name,"%\_") 对输入的字符进行转义，然后使用 PHP\_PDO 的 PDO:prepare() 方法来预处理 SQL 语句，然后使用 PDOStatement::bindParam() 方法绑定参数，或者在 PDOStatement::execute() 传入参数来预防 SQL 注入

$name = 'thon%';

$name = addcslashes($name,"%\_");

$stmt = $dbh->prepare("SELECT \* FROM tbl\_language WHERE name LIKE ? ");

$stmt->execute(array( '%'.$name));

干货推荐

附录：MySQL 教程：系列文章

发表评论取消回复

表情：

评论列表（有 0 条评论，284人围观）

还没有评论，来说两句吧...

相关阅读

相关 MySQL安全配置：防止SQL注入及敏感信息泄露

在MySQL中，防止SQL注入和保护敏感信息是非常重要的安全措施。以下是一些基本的配置建议： 1. **参数化查询**：这是最直接的防止SQL注入的方法。例如，避免使用字符串

傷城~/ 2024年12月22日 20:57/ 0 赞/ 3 阅读

相关 MySQL SQL注入攻击及防范案例

SQL注入攻击是利用Web应用程序对用户输入数据不做校验，直接将这些数据作为SQL语句的一部分执行。这种攻击可以导致敏感信息泄露、数据库修改甚至完全控制服务器。以下是一些防

╰半夏微凉°/ 2024年12月19日 20:45/ 0 赞/ 13 阅读

相关 MySQL安全防护：防止SQL注入、XSS攻击及密码策略实施案例

在MySQL数据库中，确保安全免受SQL注入、XSS攻击等威胁是非常重要的。以下是一些具体的案例： 1. **防止SQL注入**： - 案例一：在用户注册时，使用参数化

怼烎@/ 2024年12月16日 09:18/ 0 赞/ 12 阅读

相关 Java安全编程：如何防止SQL注入攻击？

SQL注入攻击是一种常见的网络攻击手段，攻击者通过在Web应用的输入字段中插入恶意SQL代码，试图影响数据库的查询，从而获取、篡改或删除数据库中的数据。为了防止SQL注入攻击，

ゞ浴缸里的玫瑰/ 2024年10月31日 11:03/ 0 赞/ 34 阅读

相关 Java安全机制：如何防止SQL注入攻击

Java安全机制中的防止SQL注入攻击主要通过以下几种方式： 1. **参数化查询**（PreparedStatement）： - Java提供`Connection`

本是古典何须时尚/ 2024年09月13日 04:15/ 0 赞/ 95 阅读

相关防注入攻击

1、可以注入攻击的登录 package pers.jdbc.log; import java.sql.Connection; import

向右看齐/ 2023年08月17日 16:09/ 0 赞/ 156 阅读

相关 mysql like 防注入,三十九、MySQL 安全及防止 SQL 注入攻击

如果通过网页获取用户输入的数据并将其插入 MySQL 数据库，那么就有可能发生 SQL注入攻击的安全问题作为研发，有一条铁律需要记住，那就是永远不要相信用户的数据，哪怕

太过爱你忘了你带给我的痛/ 2023年01月13日 13:56/ 0 赞/ 285 阅读

相关 88952634 mysql_SQL注入攻击

一、漏洞描述针对SQL注入的攻击行为可描述为通过在用户可控参数中注入SQL语法，破坏原有SQL结构，达到编写程序时意料之外结果的攻击行为。二、攻击场景及形成原因漏洞

太过爱你忘了你带给我的痛/ 2023年01月12日 01:52/ 0 赞/ 153 阅读

相关 java web 防止sql注入攻击_JavaWeb防注入知识点（一）

一、防sql注入办法在apache commons-lang(2.3以上版本)中为我们提供了一个方便做转义的工具类，主要是为了防止sql注入，xss注入攻击的功能。总共提供

柔情只为你懂/ 2022年11月03日 04:08/ 0 赞/ 470 阅读

相关数据库安全防SQL注入

什么是SQL注入（SQL Injection）所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的

叁歲伎倆/ 2022年07月18日 00:06/ 0 赞/ 269 阅读