解决sqlmap对排序自动进行注入

解决sqlmap对排序字段进行SQL注入

问题出现场景：查询模块分页排序。点击图片箭头可升序，降序。使用分页排序的技术为：mybatisplus-plus+pagehelper

漏洞复现：通过sqlmap工具。对查询接口进行排序字段sql注入。发现可以获取数据库的用户信息。

发现原因：通过打印日志发现。sqlmap会对排序字段orderField进行大量的SQL注入图片只是展示部分注入SQL。

发现通过该SQL，一个字母一个字母对比获得数据库用户名字。然后发现项目里面存在的问题。排序SQL通过字符串拼接的。但是注入普通的SQL会报错。

解决方案，对排序字段进行单独过滤处理。问题可以得到解决。