PHP 代码容易受到 SQL 注入：如何使用“mysql_real_escape_string()”？

Question

当我从几年前的教程中学习时，我最终得到了以下容易受到 SQL 注入攻击的代码。

有人可以向我解释如何使用 mysql_real_escape_string() 吗？ 这是目前的防弹方法吗？

//Function to sanitize values received from the form. Prevents SQL injection
    function clean($str) {
    $str = @trim($str);
    if(get_magic_quotes_gpc()) {
        $str = stripslashes($str);
    }
    return mysql_real_escape_string($str);
}

//Sanitize the POST values
$usr = $_SESSION['usr'];
$live = (isset($_POST['live']))?1:0;
$created = date("F j, Y, g:i a",time()+60*60);
$title= clean($_POST['title']);
$content = clean($_POST['content']);

//Create INSERT query
$qry = "INSERT INTO news( usr, live, created, title, content) VALUES( '$usr', '$live', '$created', '$title', '$content') ";
$result = @mysql_query($qry);

Answer 1

附加到查询字符串的所有内容都应该使用 mysql_real_escape_string 进行转义。它将阻止大多数 SQL 注入。但最好使用准备好的语句

示例：

$pdo = new PDO($dsn,$username,$pass);
$stmt = $pdo->prepare("select * from Table where id=?");
if ($stmt->execute(array(1))){
    $content = $stmt->fetchAll();
}

参见PDO::__construct 供参考

Answer 2

是的。 在这种情况下。

请注意，没有什么比“普遍消毒”更好的了。我们称其为引用，因为这就是它的全部内容。

引用时，总是引用某些特定输出的文本，例如：

1. mysql 查询的字符串值
2. like mysql 查询的表达式
3. html 代码
4. json
5. mysql 常规expression
6. php 正则表达式

对于每种情况，您需要不同的引用，因为每种用法都存在于不同的语法上下文中。这也意味着不应在 PHP 的输入处进行引用，而应在特定的输出处进行引用！这就是像 magic_quotes_gpc 这样的功能被破坏的原因（我建议将其关闭）。

那么，在这些特殊情况下，人们会使用什么方法来引用呢？ （请随意纠正我，可能有更现代的方法，但这些对我有用）

1. mysql_real_escape_string($str)
2. mysql_real_escape_string(addcslashes($str, "%_"))< /code>
3. htmlspecialchars($str)
4. json_encode() - 仅适用于 utf8！我将我的函数用于 iso-8859-2
5. mysql_real_escape_string(addcslashes($str, '^.[]$()|*+?{}')) - 在这种情况下你不能使用 preg_quote 因为反斜杠将被转义两次！
6. preg_quote()

Answer 3

对于黑客攻击来说，没有什么是刀枪不入的。话虽如此，是的.. mysql_real_escape_string() 可以防止 SQL 注入攻击。

Answer 4

我认为你的方法是sql注入保存。

Answer 5

您可以使用 mysql_real_escape_string 来转义危险字符...

$sanitized_query = sprintf("SELECT * FROM table WHERE field='%s', mysql_real_escape_string($value));

Answer 6

我会做类似的事情

sprintf(" SELECT * from table_name WHERE value = '%s'", mysql_escape_string("$var_value"));

---

sprintf() 函数中的 %s 表示参数被视为字符串并以字符串形式呈现。

如果发生诸如上一示例中的攻击，则发送的查询将是：
查看源代码
打印？

从 `members` 中选择 *，其中用户名='john' AND 密码='\' OR \'\'=\''

并且将返回一个空结果集。 （来源）

Answer 7

是的，这个很好。 您可以使用准备好的语句，但

不要使用@来隐藏所有错误！