検索
ホームページバックエンド開発PHPチュートリアルSQL インジェクションの脆弱性をブロックする 3 つのステップ_PHP チュートリアル

SQL インジェクションの脆弱性をブロックする 3 つのステップ_PHP チュートリアル

Jul 13, 2016 pm 05:01 PM
sql存在するデータ時間とは注射抜け穴ユーザープログラム書くWebサイト入力

SQLインジェクションとは何ですか?
多くの Web サイト プログラムが作成される場合、ユーザー入力データの合法性が判断されず、アプリケーションにセキュリティ リスクが発生します。ユーザーはデータベース クエリ コード (通常はブラウザのアドレス バーで、通常の www ポート経由でアクセス) を送信し、プログラムから返された結果に基づいて知りたい特定のデータを取得できます。これがいわゆる SQL インジェクションです。つまり、SQL インジェクションです。
Webサイトの悪夢 - SQLインジェクション
SQLインジェクションは、Webページを通じてWebサイトのデータベースを変更します。管理者権限を持つユーザーをデータベースに直接追加できるため、最終的にはシステム管理者権限を取得できます。ハッカーは取得した管理者権限を利用して、Web サイト上のファイルを恣意的に取得したり、Web ページにトロイの木馬やさまざまな悪意のあるプログラムを追加したりして、Web サイトや Web サイトを訪問するネットユーザーに多大な損害を与える可能性があります。
SQL インジェクションを防ぐ素晴らしい方法があります
ステップ 1: 多くの初心者は、SQL ユニバーサル アンチインジェクション システム プログラムをインターネットからダウンロードし、他の人が手動インジェクション テストを実行できないように、インジェクションを防止する必要があるページのヘッダーで使用します。 (図1)。


図1
しかし、SQLインジェクションアナライザーを使えば、アンチインジェクションシステムを簡単にスキップして、そのインジェクションポイントを自動的に分析することができます(図2)。その後、管理者アカウントとパスワードが分析されるまでに数分しかかかりません (図 3)。


図2


図3

ステップ2:インジェクションアナライザーの予防について、著者は実験を通じて簡単で効果的な予防方法を発見しました。まず、SQL インジェクション アナライザーがどのように機能するかを知る必要があります。操作中に、ソフトウェアが「admin」管理者アカウントではなく、権限 (flag=1 など) に指示されていることがわかりました。このように、管理者アカウントがどのように変更されても、検出を逃れることはできません。

ステップ 3: 検出を逃れることはできないため、2 つのアカウントを作成します。1 つは通常の管理者アカウント、もう 1 つはインジェクションを防ぐためのアカウントです。著者は、虚偽の印象を作成し、ソフトウェアによる検出を誘導する最高の権限を持つアカウントを見つけ、そのアカウントのコンテンツが 1,000 文字を超える漢字である場合、ソフトウェアが強制的にフルロード状態になり、このアカウントを分析するときにもリソースを使用してください。次にデータベースを変更しましょう。

1. テーブル構造を変更します。管理者のアカウントフィールドのデータタイプを変更し、テキストタイプを最大フィールドの255に変更し(実際にはこれで十分ですが、より大きくしたい場合はメモタイプを選択できます)、パスワードフィールドを同じに設定します方法。

2. テーブルを修正します。 ID1に管理者権限のあるアカウントを設定し、漢字を多め(できれば100文字以上)入力してください。

www.bkjia.comtru​​ehttp://www.bkjia.com/PHPjc/631114.html技術記事 SQLインジェクションとは何ですか? 多くの Web サイト プログラムは、ユーザー入力データの合法性を判断せずに作成されており、アプリケーションにセキュリティ リスクを引き起こします。ユーザーはデータベース クエリを送信できます...
声明
この記事の内容はネチズンが自主的に寄稿したものであり、著作権は原著者に帰属します。このサイトは、それに相当する法的責任を負いません。盗作または侵害の疑いのあるコンテンツを見つけた場合は、admin@php.cn までご連絡ください。
PHPの抽象クラスまたはインターフェイスに対して、いつ特性を使用しますか?PHPの抽象クラスまたはインターフェイスに対して、いつ特性を使用しますか?Apr 10, 2025 am 09:39 AM

PHPでは、特性は方法が必要な状況に適していますが、継承には適していません。 1)特性により、クラスの多重化方法が複数の継承の複雑さを回避できます。 2)特性を使用する場合、メソッドの競合に注意を払う必要があります。メソッドの競合は、代替およびキーワードとして解決できます。 3)パフォーマンスを最適化し、コードメンテナビリティを改善するために、特性の過剰使用を避け、その単一の責任を維持する必要があります。

依存関係噴射コンテナ(DIC)とは何ですか?また、なぜPHPで使用するのですか?依存関係噴射コンテナ(DIC)とは何ですか?また、なぜPHPで使用するのですか?Apr 10, 2025 am 09:38 AM

依存関係噴射コンテナ(DIC)は、PHPプロジェクトで使用するオブジェクト依存関係を管理および提供するツールです。 DICの主な利点には、次のものが含まれます。1。デカップリング、コンポーネントの独立したもの、およびコードの保守とテストが簡単です。 2。柔軟性、依存関係を交換または変更しやすい。 3.テスト可能性、単体テストのために模擬オブジェクトを注入するのに便利です。

通常のPHPアレイと比較して、SPL SPLFIXEDARRAYとそのパフォーマンス特性を説明してください。通常のPHPアレイと比較して、SPL SPLFIXEDARRAYとそのパフォーマンス特性を説明してください。Apr 10, 2025 am 09:37 AM

SplfixedArrayは、PHPの固定サイズの配列であり、高性能と低いメモリの使用が必要なシナリオに適しています。 1)動的調整によって引き起こされるオーバーヘッドを回避するために、作成時にサイズを指定する必要があります。 2)C言語アレイに基づいて、メモリと高速アクセス速度を直接動作させます。 3)大規模なデータ処理とメモリに敏感な環境に適していますが、サイズが固定されているため、注意して使用する必要があります。

PHPは、ファイルを安全に処理する方法をどのように処理しますか?PHPは、ファイルを安全に処理する方法をどのように処理しますか?Apr 10, 2025 am 09:37 AM

PHPは、$ \ _ファイル変数を介してファイルのアップロードを処理します。セキュリティを確保するための方法には次のものが含まれます。1。アップロードエラー、2。ファイルの種類とサイズを確認する、3。ファイル上書きを防ぐ、4。ファイルを永続的なストレージの場所に移動します。

Null Coulescingオペレーター(??)およびNull Coulescing Assignment Operator(?? =)とは何ですか?Null Coulescingオペレーター(??)およびNull Coulescing Assignment Operator(?? =)とは何ですか?Apr 10, 2025 am 09:33 AM

JavaScriptでは、nullcoalescingoperator(??)およびnullcoalescingsignmentoperator(?? =)を使用できます。 1.??最初の非潜水金または非未定されたオペランドを返します。 2.??これらの演算子は、コードロジックを簡素化し、読みやすさとパフォーマンスを向上させます。

コンテンツセキュリティポリシー(CSP)ヘッダーとは何ですか?なぜ重要なのですか?コンテンツセキュリティポリシー(CSP)ヘッダーとは何ですか?なぜ重要なのですか?Apr 09, 2025 am 12:10 AM

XSS攻撃を防ぎ、リソースのロードを制限し、ウェブサイトのセキュリティを改善できるため、CSPは重要です。 1.CSPはHTTP応答ヘッダーの一部であり、厳格なポリシーを通じて悪意のある行動を制限します。 2。基本的な使用法は、同じ起源からのロードリソースのみを許可することです。 3.高度な使用法は、特定のドメイン名がスクリプトやスタイルをロードできるようにするなど、より微調整された戦略を設定できます。 4。CSPポリシーをデバッグおよび最適化するには、コンテンツセキュリティポリシーレポートのみのヘッダーを使用します。

HTTPリクエストメソッド(取得、投稿、配置、削除など)とは何ですか?それぞれを使用する必要がありますか?HTTPリクエストメソッド(取得、投稿、配置、削除など)とは何ですか?それぞれを使用する必要がありますか?Apr 09, 2025 am 12:09 AM

HTTPリクエストメソッドには、それぞれリソースを取得、送信、更新、削除するために使用されるGET、POST、PUT、および削除が含まれます。 1. GETメソッドは、リソースを取得するために使用され、読み取り操作に適しています。 2. POSTメソッドはデータの送信に使用され、新しいリソースを作成するためによく使用されます。 3. PUTメソッドは、リソースの更新に使用され、完全な更新に適しています。 4.削除メソッドは、リソースの削除に使用され、削除操作に適しています。

HTTPSとは何ですか、なぜWebアプリケーションにとって重要なのですか?HTTPSとは何ですか、なぜWebアプリケーションにとって重要なのですか?Apr 09, 2025 am 12:08 AM

HTTPSは、HTTPに基づいてセキュリティレイヤーを追加するプロトコルであり、主に暗号化されたデータを介してユーザーのプライバシーとデータセキュリティを保護します。その作業原則には、TLSの握手、証明書の確認、暗号化された通信が含まれます。 HTTPSを実装する場合、証明書管理、パフォーマンスへの影響、および混合コンテンツの問題に注意を払う必要があります。

See all articles

ホットAIツール

Undresser.AI Undress

Undresser.AI Undress

リアルなヌード写真を作成する AI 搭載アプリ

AI Clothes Remover

AI Clothes Remover

写真から衣服を削除するオンライン AI ツール。

Undress AI Tool

Undress AI Tool

脱衣画像を無料で

Clothoff.io

Clothoff.io

AI衣類リムーバー

AI Hentai Generator

AI Hentai Generator

AIヘンタイを無料で生成します。

ホットツール

WebStorm Mac版

WebStorm Mac版

便利なJavaScript開発ツール

ゼンドスタジオ 13.0.1

ゼンドスタジオ 13.0.1

強力な PHP 統合開発環境

SublimeText3 英語版

SublimeText3 英語版

推奨: Win バージョン、コードプロンプトをサポート!

SublimeText3 Mac版

SublimeText3 Mac版

神レベルのコード編集ソフト(SublimeText3)

DVWA

DVWA

Damn Vulnerable Web App (DVWA) は、非常に脆弱な PHP/MySQL Web アプリケーションです。その主な目的は、セキュリティ専門家が法的環境でスキルとツールをテストするのに役立ち、Web 開発者が Web アプリケーションを保護するプロセスをより深く理解できるようにし、教師/生徒が教室環境で Web アプリケーションを教え/学習できるようにすることです。安全。 DVWA の目標は、シンプルでわかりやすいインターフェイスを通じて、さまざまな難易度で最も一般的な Web 脆弱性のいくつかを実践することです。このソフトウェアは、