我想知道直接使用GET和POST变量时有哪些漏洞.
即用out修剪和addslashes函数和 mysql转义字符串之类的东西.
即用out修剪和addslashes函数和 mysql转义字符串之类的东西.
我的问题是
在玩GET和POST时我们还需要注意什么.
sql注入有什么样的攻击？
通常,不仅限于GET和POST,还包括来自系统外部的任何数据(包括Web应用程序中的cookie)：
几乎所有的漏洞都归结为“用户可以在传递输入的上下文中运行他们喜欢的任何代码”.
>如果将其传递给sql数据库,则可以运行他们喜欢的任何sql.
>如果将其传递给HTML文档,他们可以添加他们喜欢的任何标记(包括JavaScript)
>如果将其传递给系统shell,则可以运行他们喜欢的任何系统命令.
>如果您使用他们选择的名称打开文件,他们可以打开他们喜欢的任何文件.
等等
您需要考虑您对数据的处理方式.在接受世界上任何系统的污染输入时,寻找可能出错的可能事项列表并不会产生详尽的列表.
另外：忘记addslashes(它没有效果),忘记MysqL_real_escape(用它来犯太错很容易).使用参数化查询：How can I prevent SQL injection in PHP?
