程序師世界是廣大編程愛好者互助、分享、學習的平台,程序師世界有你更精彩!
首頁
編程語言
C語言|JAVA編程
Python編程
網頁編程
ASP編程|PHP編程
JSP編程
數據庫知識
MYSQL數據庫|SqlServer數據庫
Oracle數據庫|DB2數據庫
 程式師世界 >> 編程語言 >> 網頁編程 >> PHP編程 >> 關於PHP編程 >> php防注入及開發安全詳細解析

php防注入及開發安全詳細解析

編輯:關於PHP編程

1、PHP注入的基本原理
程序員的水平及經驗也參差不齊,相當大一部分程序員在編寫代碼的時候,沒有對 用戶輸入數據的合法性進行判斷,使應用程序存在安全隱患。用戶可以提交一段數據 庫查詢代碼,根據程序返回的結果,獲得某些他想得知的數據,這就是所謂的 SQL Injection,即SQL注入。 受影響的系統:對輸入的參數不進行檢查和過濾的系統.

SQL注入過程
正常來講,我們通過地址接收一些必要的參數如:
頁面中我們會使用 2 寫入到SQL語句中
正常情況:Select * From Table where id=2

bkJia.php?id=2
如果我們對SQL語句熟悉,就知道2 我們可以替換成我們需要的SQL語句
如:and exists (select id from admin)

2、防止注入的幾種辦法
其實原來就是我們需要過濾一些我們常見的關鍵字和符合如:
Select,insert,update,delete,and,*,等等
例子:
復制代碼 代碼如下:
function inject_check($sql_str) {
return preg_match('/select|insert|update|delete|/'|///*|/*|/././/|/.//|union|into|load_file|outfile/i', $sql_str);      // 進行過濾
}

或者是通過系統函數間的過濾特殊符號
Addslashes(需要被過濾的內容)

3、PHP其他地方安全設置
register_globals = Off 設置為關閉狀態
SQL語句書寫時盡量不要省略小引號和單引號
復制代碼 代碼如下:
Select * From Table Where id=2 (不規范)
Select * From ·Table· Where ·id·='2' (規范)

提高數據庫命名技巧,對於一些重要的字段可根據程序特點命名
對於常用方法加以封裝,避免直接暴露SQL語句

正確的使用 $_POST $_GET $_SESSION 等接受參數,並加以過濾

  1. 上一頁:
  2. 下一頁:
Copyright © 程式師世界 All Rights Reserved