php数据库注入攻击 php注入语句

PHP代码网站如何防范SQL注入漏洞攻击建议分享

做为网络开发者的你对这种黑客行为恨之入骨，当然也有必要了解一下SQL注入这种功能方式的原理并学会如何通过代码来保护自己的网站数据库。今天就通过PHP和MySQL数据库为例，分享一下我所了解的SQL注入攻击和一些简单的防范措施和一些如何避免SQL注入攻击的建议。

简单来说，SQL注入是使用代码漏洞来获取网站或应用程序后台的SQL数据库中的数据，进而可以取得数据库的访问权限。比如，黑客可以利用网站代码的漏洞，使用SQL注入的方式取得一个公司网站后台数据库里所有的数据信息。拿到数据库管理员登录用户名和密码后黑客可以自由修改数据库中的内容甚至删除该数据库。SQL注入也可以用来检验一个网站或应用的安全性。SQL注入的方式有很多种，但本文将只讨论最基本的原理，我们将以PHP和MySQL为例。本文的例子很简单，如果你使用其它语言理解起来也不会有难度，重点关注SQL命令即可。

一个简单的SQL注入攻击案例

假如我们有一个公司网站，在网站的后台数据库中保存了所有的客户数据等重要信息。假如网站登录页面的代码中有这样一条命令来读取用户信息。

$q

=

"SELECT

`id`

FROM

`users`

WHERE

`username`=

'

"

.$_GET['username'].

"

'

AND

`password`=

'

"

.$_GET['password'].

"

'

";?现在有一个黑客想攻击你的数据库，他会尝试在此登录页面的用户名的输入框中输入以下代码:

'

;

SHOW

TABLES;

点击登陆键，这个页面就会显示出数据库中的所有表。如果他现在使用下面这行命令:

';

DROP

TABLE

[table

name];

这样他就把一张表删除了!

防范SQL注入

-

使用mysql_real_escape_string()函数

在数据库操作的代码中用这个函数mysql_real_escape_string()可以将代码中特殊字符过滤掉，如引号等。如下例:

$q

=

"SELECT

`id`

FROM

`users`

WHERE

`username`=

'

"

.mysql_real_escape_string(

$_GET['username']

).

"

'

AND

`password`=

'

"

.mysql_real_escape_string(

$_GET['password']

).

"

'

";?防范SQL注入

-

使用mysql_query()函数

mysql_query()的特别是它将只执行SQL代码的第一条，而后面的并不会执行。回想在最前面的例子中，黑客通过代码来例后台执行了多条SQL命令，显示出了所有表的名称。所以mysql_query()函数可以取到进一步保护的作用。我们进一步演化刚才的代码就得到了下面的代码:

//connection

$database

=

mysql_connect("localhost",

"username","password");

//db

selection

$q

=

mysql_query("SELECT

`id`

FROM

`users`

WHERE

`username`=

'

"

.mysql_real_escape_string(

$_GET['username']

).

"

'

AND

`password`=

'

"

.mysql_real_escape_string(

$_GET['password']

).

"

'

",

$database);?除此之外，我们还可以在PHP代码中判断输入值的长度，或者专门用一个函数来检查输入的值。所以在接受用户输入值的地方一定要做好输入内容的过滤和检查。当然学习和了解最新的SQL注入方式也非常重要，这样才能做到有目的的防范。如果使用的是平台式的网站系统如Wordpress，要注意及时打上官方的补丁或升级到新的版本。

相关问答

Q1: php防止sql注入以及xss跨站脚本攻击

1.post数据

封装转义函数 防sql注入  eag：addslashes($username);addslashes($password); 

eag:防止sql注入函数封装 

function deepslashes($data){

#判断$dataphp数据库注入攻击的表现形式 并且需要处理空的情况

if(empty($data)){

return($data);

}

#高级简写 return is_array($data) ? array_map('deepslashes',$data) : addslashes($data);

#初级写法

if(is_array($data)){

#递归循环遍历处理多维数组

foreach ($data as $v) {

return deepslashes($v);

}

}else{

#单一变量

return addslashes($data);

}

#初级写法

}

2.get数据

指url 传参数导致sql发生改变

解决方案

①强制转换php数据库注入攻击，使用函数intval 或者 数据类型 的关键字int

②隐式转换php数据库注入攻击，通过运算php数据库注入攻击，只需要+0即可

3.xss跨站脚本攻击

指恶意攻击向web页面插入html、js标签导致页面出现错误

解决方案

转义标签'' ''即可php数据库注入攻击，有以下php函数可解决

htmlspecialchars 函数 和 htmlentites函数

eag:

function deepslashes($data){

#判断$data的表现形式 并且需要处理空的情况

if(empty($data)){

return($data);

}

return is_array($data) ? array_map('deepslashes',$data) : htmlspecialchars ($data);

}

Q2: php如何防止sql注入？

额php数据库注入攻击，这是我老师给php数据库注入攻击的答案\x0d\x0a \x0d\x0a答php数据库注入攻击：过滤一些常见php数据库注入攻击的数据库操作关键字,\x0d\x0a select ,insert,update,delete,and,*等或通过系统函数addslashes对内容进行过滤\x0d\x0aphp配置文件中register_globals=off;设置为关闭状态.(作用将注册全局变量关闭);如接收POST表单php数据库注入攻击的值使用$_POST['user'],假设设置为ON的话$user才接收值\x0d\x0asql语句书写的时候尽量不要省略小引号(tab上面那个)和单引号\x0d\x0a提高数据库命名技巧,对于一些重要的字段根据程序的特点命名,使之不易被猜中\x0d\x0a对于常的方法加以封装,避免直接暴漏SQL语句\x0d\x0a开启PHP安全模式safe_mode=on\x0d\x0a打开magic_quotes_gpc来防止SQL注入,默认为关闭,开启后自动把用户提交sql查询语句进行转换把"'"转换成"\'"\x0d\x0a控制错误信息输出,关闭错误信息提示,将错误信息写到系统日志\x0d\x0a使用MYSQLI或PDO预处理

关于php数据库注入攻击和php注入语句的介绍到此就结束了，不知道你从中找到你需要的信息了吗 ？如果你还想了解更多这方面的信息，记得收藏关注本站。