PHP+MYSQL网站SQL Injection攻防
| 慎重决定。很多时候专业的软件并不是必须的，还有很多轻量级解决方案，下面演示一下如何使用awk来检测可能的漏洞。 创建detect_sql_injection.awk脚本，内容如下（如果要拷贝一下内容的话记得不要包括行号）： 01 #!/bin/gawk -f 02 03 /\
 Copyright ©1999-2011 厦门凌众科技有限公司 厦门优通互联科技开发有限公司 All rights reserved 地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁） 邮编(ZIP)：361008 电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134 《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号
 04 IGNORECASE = 1 05 if (match($0, /\$.*(sql|query)/)) { 06 IGNORECASE = 0 07 output() 08 next 09 } 10 } 11 12 function output() 13 { 14 $1 = $1 15 print "CRUD: " $0 "\nFILE: " FILENAME "\nLINE: " FNR "\n" 16 } 此脚本可匹配出类似如下的问题代码，想要扩展匹配模式也容易，只要照猫画虎写if match语句即可。 1：$sql = "SELECT * FROM users WHERE username = ''{
Copyright ©1999-2011 厦门凌众科技有限公司 厦门优通互联科技开发有限公司 All rights reserved 地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁） 邮编(ZIP)：361008 电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134 《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号
2：$res = mysql_query("SELECT * FROM users WHERE username = ''{
Copyright ©1999-2011 厦门凌众科技有限公司 厦门优通互联科技开发有限公司 All rights reserved 地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁） 邮编(ZIP)：361008 电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134 《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号
使用前别忘了先chmod +x detect_sql_injection.awk，有两种调用方法： 1：./detect_sql_injection.awk /path/to/php/script/file 2：find /path/to/php/script/directory -name "*.php" | xargs ./detect_sql_injection.awk 会把有问题的代码信息显示出来，样子如下： CRUD: $sql = "SELECT * FROM users WHERE username = ''{
Copyright ©1999-2011 厦门凌众科技有限公司 厦门优通互联科技开发有限公司 All rights reserved 地址(ADD)：厦门软件园二期望海路63号701E（东南融通旁） 邮编(ZIP)：361008 电话：0592-5908028 传真：0592-5908039 咨询信箱：web@lingzhong.cn 咨询OICQ：173723134 《中华人民共和国增值电信业务经营许可证》闽B2-20100024 ICP备案:闽ICP备05037997号
FILE: /path/to/file.php LINE: 123 现实环境中有很多应用这个脚本的方法，比如说通过CRON定期扫描程序源文件，或者在SVN提交时通过钩子方法自动匹配。 使用专业工具也好，检测脚本亦罢，都是被动的防守，问题的根本始终取决于在程序员头脑里是否有必要的安全意识，下面是一些必须要牢记的准则： 1：数字型参数使用类似intval，floatval这样的方法强制过滤。 2：字符串型参数使用类似mysql_real_escape_string这样的方法强制过滤，而不是简单的addslashes。 3：最好抛弃mysql_query这样的拼接SQL查询方式，尽可能使用PDO的prepare绑定方式。 4：使用rewrite技术隐藏真实脚本及参数的信息，通过rewrite正则也能过滤可疑的参数。 5：关闭错误提示，不给攻击者提供敏感信息：display_err |
||||||||||||||||||||
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |