問題タブ [sql-injection]

ローカルファイルインクルードとSQ​​Lインジェクション（PHP）からWebサイトをどのように保護しますか？

私が常に混乱しているのは、入力エスケープと、SQL インジェクションなどの攻撃から保護されているかどうかです。

HTTP POST を使用して PHP ファイルにデータを送信するフォームがあるとします。入力フィールドに次のように入力し、フォームを送信します。

この POST データを受け取る PHP ページの入力を印刷/エコーすると、次のようになります。

ここがややこしいポイントです。この入力文字列を (My)SQL に入れて実行すると、(引用符がエスケープされるため) データベースに正常に入力されますが、SQL インジェクションは停止しますか?

入力文字列を取得して次のようなものを呼び出すと、次のようmysqli real_escape_stringになります。

したがって、(My)SQL 経由でデータベースに入ると、次のようになります。

これには明らかにスラッシュが多すぎます。

では、入力が HTTP POST を介してエスケープされたものである場合、(My)SQL に対して安全にするために再度エスケープする必要がありますか? それとも、ここで明らかな何かが見えないだけですか?

助けてくれてありがとう。

サーブレット フィルターによって呼び出され、インジェクション攻撃の試みと Struts に基づく Java Web アプリケーションの XSS をチェックする Java クラスを作成しています。InjectionAttackChecker クラスは、正規表現と java.util.regex.Pattern クラスを使用して、正規表現で指定されたパターンに対して入力を検証します。

そうは言っても、次の質問があります。

1. インジェクション攻撃を防ぐために、すべての特殊文字と文字パターン (<>、.、-、<=、==、>= など) をブロックする必要があります。
2. そのまま使用できる既存の正規表現パターンはありますか?
3. いくつかの特定のケースでは、いくつかの特殊文字パターンを許可する必要があります。いくつかの例の値 (許可される) は (異なる値の区切り文字として「パイプ」| 文字を使用) *Atlanta | です。#654,8号館 #501 | 単純ヘルペス: 慢性潰瘍 (> 1 ヶ月持続) または気管支炎、肺炎、または食道炎 | FUNC & COMP(date_cmp), "NDI & MALKP & HARS_IN(icd10, yes)" . インジェクション攻撃と XSS を防止しながら、これらの文字パターンを許可するには、どのような戦略を採用する必要がありますか?

質問を明確に述べたことを願っています。しかし、そうしなかった場合は、2番目の質問であることをお詫びします。説明が必要な場合はお知らせください。

SQLインジェクション攻撃についてはいくつかのヒステリーがあるようです。最近では、ここに

別のフィールドのルックアップ値に基づいて、あるフィールドの値を返す方法

Accessデータベースに接続するマクロをExcelで作成している場合、SQLインジェクションについて本当に心配する必要がありますか？Web上ではなく、私のオフィスで使用されています（デスクトップを覚えていますか？）。同僚が私を妨害することを心配していません。彼らがSQLインジェクションを行うのに十分賢いのなら、彼らは私のアドインパスワードを解読してコードを変更するのに十分賢いのではないでしょうか？

元の質問:
私たちのアフィリエイト パートナーは、SQL インジェクションに対して脆弱な Web サイトを持っています。

これは偶然に気付きました (URL のタイプミスにより、非常に有益なエラー ページが表示されました)。

現在、このアフィリエイト パートナーについてはよくわかっていません。私たちはちょうど一週間前に彼らと取引を始めました。彼ら自身は技術的なスキルをほとんど持っていません。彼らのウェブサイトは、「ウェブサイトを行う」サード企業によって開発されています。

ここで、問題について警告する必要があることは明らかです。しかし、私たちが問題について彼らに知らせると、彼らは怖がって私たちを信頼しなくなるのではないかと少し心配しています (問題を解決するためにメッセンジャーを撃ってください)。

このような状況に陥ったことのある方はいらっしゃいますか? あなたは何をした？

追加事項:
Web サイトを開発した会社は、入力の検証/サニタイズをまったく行っていないように見えるため、この会社にはあまり自信がありません。私たちの懸念ではありませんが、アフィリエイト パートナーのシステムの残りの部分でセキュリティと品質が不足している可能性があることを警告する必要があると考えています。これにより、私たちは彼らの開発者と正面から向き合うことになり、私たちは彼らと私たちの状況に関与したくありません.

追加の懸念事項を彼らに通知する必要がありますか? それともそのままにしておくようにアドバイスしますか？

更新：
それで、どうなりましたか？

私たちは彼らに既存の問題を通知し、背景情報、詳細なエラー レポートを含め、何が問題なのか、なぜ深刻なのかを平易な人間の言葉で説明しようとしました。

彼らは私たちに感謝し、情報をウェブサイトの開発者に渡しました。開発者はそれを修正しました.
修正の品質については確信が持てませんが、それについてできることは何もありません。それは私たちの責任ではありません。(私たちの責任のように感じますが、報告してからはなおさらです)。

しかし、関係は変わりました。それらはオープンではなく、以前よりもはるかに控えめな反応があります。将来、これがより良い方向に変わることを願っていますが、問題を報告したことで、この関係の信頼が損なわれたように感じます.

したがって、自分が同じ立場にあることに気付いた場合は、注意して、時間をかけて問題を説明し、最適ではない対応に備えてください。

こんにちは、.NET Web アプリケーションの SQL インジェクションの防止について詳しく説明している優れた Web サイトを誰か知っているかどうか疑問に思っていました。どんなリソースも大いに活用されます、ありがとう。

MySQL インジェクションから保護する最善の方法は何ですか? 注意すべき弱点は何ですか？

それが何であるかは知っていますが、私がどれほど脆弱であるかは本当にわかりません。私は自分自身と自分のデータベースを保護するための措置を講じましたが（私がそうなると思います）。

誰かを止める確実な方法はありますか？

ところで...私はPHPで書いています:)

btn_clickイベントに次のコードがあります。

loginテーブルはどこにありusername、pwdはそのフィールドです。このコードの後、すべての値がreaderオブジェクトに格納されます。usernameとをpwd別々の変数に保存したい。

どうすればこれを達成できますか?