只使用类似PHP mysql_real_escape_string() 函数做过滤有风险;
mysql_real_escape_string()用法
mysql_real_escape_string() 函数转义 SQL 语句中使用的字符串中的特殊字符。
下列字符受影响:
\x00
\n
\r
'
"
\x1a
如果成功,则该函数返回被转义的字符串。如果失败,则返回 false。
使用案例
过滤String型参数;
<?php
$con = mysql_connect("localhost", "hello", "321");
if (!$con){
die('Could not connect: ' . mysql_error());
}
// 获得用户名和密码的代码
$user = $_POST("user");
$pwd = $_POST("pwd");
// 转义用户名和密码,以便在 SQL 中使用
$user = mysql_real_escape_string($user);
$pwd = mysql_real_escape_string($pwd);
$sql = "SELECT * FROM users WHERE
user='" . $user . "' AND password='" . $pwd . "'"
//...
mysql_close($con);
?>
这样其实只能过滤string型参数,但是如果有int型参数就不行了,如下;
Int型参数拼接
<?php
$con = mysql_connect("localhost", "hello", "321");
if (!$con){
die('Could not connect: ' . mysql_error());
}
// 获得用户名和密码的代码
> 过滤String型参数;
$mobile = $_POST("mobile");
$v = $_POST("v");
// 转义用户名和密码,以便在 SQL 中使用
$mobile = mysql_real_escape_string($mobile);
$v = mysql_real_escape_string($v);
$condStr .= "SELECT * FROM users WHERE uers=lisi AND mobile = $mobile LIKE "."$v";
mysql_close($con);
?>
这种sql语句使用是mobile=138888888888 int型参数,看如上的拼接规则,这样根本就不需要'、"闭合符号 只需要传入 1,union select 1=1;# 就能注入 。
如果不转成字符"",或者强转成%d,或者使用saftQuer()预编译,都会有注入。