数据库与前端的简单建立及过滤注入参数(数字型注入举为例)

数据库配置：sqlin下的news表

---

1.最简单的数据库连接，无任何过滤，可以看出是个数字型注入。.

查询数据库，我们这里只看sqlin(也可以看其他的，因为连接的时候为root权限)

查表

查列

查内容，from数据库.表名

注意：当查询表名和列名的时候where table_name=’news’会报错，把news转化为16进制就好了。

---

2.对id进行is-numeric()过滤

---

3.对关键字进行过滤 union，select，and，or...

这个时候只要有select都会被换为空
但是可以大小写不同绕过，比如SelECT
过滤大小写用strtolower($id)函数解决大小写绕过
或者直接用$id=str_ireplace("select","",$id);这个函数不区分大小写
正则表达式确定绕过的对象

转载于:https://www.cnblogs.com/zaqzzz/p/9346122.html