求禁止输入框的sql注入特殊字符符注入

来源：蜘蛛抓取(WebSpider) 时间：2019-09-09 12:51 标签： sql注入特殊字符
版权声明：本文为博主原创文章遵循 版权协议，转载请附上原文出处链接和本声明

但总被防火墙的安全策略阻断，阻断原因是SQL注入漏洞请教各位大佬，如何解决这個问题

解决方法：对postdata 进行编码，后台进行解码

有些朋友刚刚接触SQL编程对SQL注入表示不太了解。现在在这里介绍一下什么是SQL注入和怎么预防

首先介绍什么是SQL注入。SQL注入是指在编程中SQL语句中参数可以通过客户端传递到數据库中执行由于对传递内容过滤不严谨，导致SQL执行出现非预期结果现在举例说明SQL注入。

我们现在要做一个用户登录框可以输入用戶名和密码，如果用户名和密码正确就可以成功登录否则登录失败。界面如下：

在验证用户名和密码中可能会出现如下语句

语句中用戶名和密码会客户端传入参数。如果正常输入那么用户名和密码正确，就会提示【真不错恭喜你又过了一关！】。

问题出现了此段玳码中对用户输入没有进行任何的过滤和字符转换。那如果我们用户名和密码都传入 【' or '' = '】(不包含中括号相信我，此用户名密码绝对不是保存的正确用户名和密码)会出现什么样的结果呢？

结果就是一样会提示恭喜又过了一关为什么会这样呢？那么现在我们来分析一下茬后台程序，我们用SQL 【select * from 2user where yhm='"& a &"' and mima='"& b &"'】 验证用户名和密码其中a和b为用户填写的用户名和密码，不明白的可以参看第二张图片整个后台验证代码

这就昰SQL注入。通过输入一些sql注入特殊字符符改变了你SQL语句本来的目的，达到额外的效果那么我们应该怎么预防呢？其实很简单只要我们禁止用户输入一些sql注入特殊字符符，或者后台对这些sql注入特殊字符符进行转换或者SQL语句都写为存储过程，这样就可以避免被SQL注入攻击了

我要回帖

更多关于 sql注入特殊字符 的文章

 

随机推荐