V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
bf68
V2EX  ›  PHP

php 的注入漏洞 0xbf27

  •  
  •   bf68 · 2014-11-04 18:38:23 +08:00 · 4063 次点击
    这是一个创建于 3671 天前的主题,其中的信息可能已经有所发展或是发生改变。
    大家是怎么过滤这些危险的
    11 条回复    2014-11-05 23:47:58 +08:00
    bf68
        1
    bf68  
    OP
       2014-11-04 18:39:01 +08:00
    大神们
    raincious
        2
    raincious  
       2014-11-04 18:43:21 +08:00
    如果你遇到了这样的问题,只能说……是根本没做对。

    1、改用MySQLli或者PDO;
    2、设置正确的字符集;
    3、再不济,你也有mysql_real_escape_string()(仍然要确保字符集正确);
    4、任何尝试检查输入字符是否包含0xbf或0x27然后进行替换的行为都是……有病的。
    nilai
        3
    nilai  
       2014-11-04 18:48:42 +08:00
    宽字符注入。
    bf68
        4
    bf68  
    OP
       2014-11-04 19:52:08 +08:00
    有解决方案不大神们
    invite
        5
    invite  
       2014-11-04 20:00:21 +08:00
    变量绑定可以不?
    bf68
        6
    bf68  
    OP
       2014-11-04 20:01:35 +08:00
    @invite 你是怎么处理的,大神
    lygmqkl
        7
    lygmqkl  
       2014-11-04 20:08:03 +08:00
    php 上框架 bindValue 压根就不用考虑这个。。。。虽然有点偷懒,但是可以统一团队开发人员的效率。
    lincanbin
        8
    lincanbin  
       2014-11-04 20:55:38 +08:00
    强烈建议使用PDO
    bf68
        9
    bf68  
    OP
       2014-11-04 21:31:44 +08:00
    @lincanbin 可以具体点吗?都是刚刚接触php,谢谢
    domino
        10
    domino  
       2014-11-05 09:39:05 +08:00
    1.用mysql_set_charset函数设置连接所使用的字符集为gbk
    再调用mysql_real_escape_string来过滤用户输入。

    2.将character_set_client设置为binary(二进制)。
    只需在所有sql语句前指定一下连接的形式是二进制:
    mysql_query("character_set_client=binary", $conn);
    elvba
        11
    elvba  
       2014-11-05 23:47:58 +08:00
    二楼正解,使用PDO以及设置正确的字符集,做好输入过滤。
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   1097 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 25ms · UTC 18:53 · PVG 02:53 · LAX 10:53 · JFK 13:53
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.