13sql注入修复

sql注入修复

一般思路

过滤

（1）针对SQL注入漏洞，需要对网站所有参数中提交的数据进行过滤，禁止输入"'“、“xor”、“or”、”–“、”#"、“select”、"and"等特殊字符；

（2）所有的查询语句都使用数据库提供的参数化查询接口，SQL语句使用参数化处理后的数据作为输入,而不是将用户输入变量嵌入到SQL语句中；

权限

严格限制网站用户对数据库的操作权限，给此用户提供仅仅能够满足其工作的权限，从而最大限度的减少注入攻击对数据库的危害；

回显

避免网站显示SQL错误信息，比如类型错误、字段不匹配等，防止攻击者收集这些错误信息进行判断进而执行SQL注入攻击。

php参数为int型的sql注入漏洞

Intval()函数用于获取变量的整数值

php参数为字符串型的sql注入漏洞

Addslashes（） 返回在预定义字符之前添加反斜杠的字符串

其中的预定义字符是什么自己搜

数据库为GBK时，可以使用宽字节注入