mysql注入跨库查询
基础概念
MySQL注入是一种常见的安全漏洞，攻击者通过在输入字段中插入恶意SQL代码，从而绕过应用程序的安全措施，获取、修改或删除数据库中的数据。跨库查询是指在一个查询中访问多个数据库的行为。
相关优势
无直接优势，因为这是一种安全漏洞。
类型
- 基于错误的注入：利用应用程序返回的错误信息。
- 基于时间的注入：通过观察查询响应时间来判断注入是否成功。
- 基于布尔的注入：通过观察查询结果的不同来判断注入是否成功。
应用场景
通常出现在Web应用程序中，当用户输入没有得到适当的验证和清理时，就可能被用于构造恶意SQL查询。
为什么会这样
跨库查询通常是由于应用程序设计不当，没有对用户输入进行充分的验证和清理，或者使用了动态SQL拼接，允许恶意用户构造出可以访问其他数据库的SQL语句。
原因是什么
- 不安全的数据库配置：数据库权限设置不当，允许用户执行不应该执行的操作。
- 不充分的输入验证：没有对用户输入进行适当的验证和清理。
- 动态SQL拼接：直接将用户输入拼接到SQL查询中。
如何解决这些问题
- 使用参数化查询：避免直接将用户输入拼接到SQL语句中，而是使用参数化查询或预编译语句。
- 使用参数化查询：避免直接将用户输入拼接到SQL语句中，而是使用参数化查询或预编译语句。
- 最小权限原则：为数据库用户分配最小的必要权限，避免使用具有高权限的账户进行日常操作。
- 输入验证和清理：对所有用户输入进行验证和清理，确保输入符合预期的格式和类型。
- 使用Web应用防火墙（WAF）：部署WAF可以帮助检测和阻止SQL注入攻击。
- 定期更新和打补丁：保持数据库管理系统和相关软件的最新版本，及时应用安全补丁。
参考链接
通过上述措施，可以有效防止MySQL注入和跨库查询攻击，保护应用程序和数据库的安全。
相关·内容
我想在我的网站上有一个“联系我们”，这样用户就可以在文本框中键入，当他点击“提交”时-它将被存储下来供我以后查看。
浏览 1提问于2012-04-04得票数 1
回答已采纳
2回答
当用户对标题满意时，他会将其提交给mysql保存。页面刷新，他可以在"h3“标签和输入字段中看到他的新标题。$title_set = $_POST['title'];$title_get = $result['denomination($result['denomination']);
<h3> -> L&#
浏览 1提问于2014-09-15得票数 0
回答已采纳
当我清理这些数据时，我如何确保所有这些引号和斜杠都可以安全地放到我的SQL数据库中，我该怎么做才能把它们放回前端？我也很担心，因为如果博主“引用”了什么东西，我也不希望它被搞乱。
浏览 0提问于2012-11-08得票数 2
2回答
我有一篇关于SQL注入的文章(它是什么--它是如何完成的，以及如何避免它)。我明白它是什么以及它是如何工作的。但我似乎无法在我的数据库上复制一个注入。我使用mysql工作台创建了一个非常简单的数据库，用于视频俱乐部。电影-股票-价格-顾客，购物车等。我还制作了一个非常简单的html页面，我可以从其中添加电影-查看我的库存，等等。下一步是尝试插入第二个查询。我试图更新test_table。mysqli_error返回以下消息
error: You have an error in your
浏览 8提问于2013-02-27得票数 0
回答已采纳
我对sql注入知之甚少。例如，我应该如何在数据库中插入数据，如何从数据库中提取数据，如何在mysql中执行搜索查询、更新查询。到目前为止，我知道addslashes是用来防止使用php的mysql中的sql注入的。你能告诉我如何预防这种情况吗？我听说过mysql_re
浏览 0提问于2010-01-21得票数 1
回答已采纳
1回答
我正在尝试在Postgres中构建一个查询。我的背景是SQL Server，所以我遇到了一些语法上的挑战。我的查询需要访问两个独立的服务器上的两个独立的数据库。我需要在数据集之间进行连接。
浏览 14提问于2014-05-22得票数 1
回答已采纳
在MySQL上运行查询最安全的方式是什么？我知道MySQL和SQL注入所涉及的危险。
然而，我不知道我应该如何运行我的查询，以防止注入其他用户( can客户端)可以操作的变量。我应该使用什么，应该如何使用它在不冒MySQL注入风险的情况下通过python安全地在MySQL数据库上查询和执行插入操作？
浏览 1提问于2011-10-28得票数 70
回答已采纳
那么，什么是PDO是一个简单的方法，为什么我要使用这个，什么是SQL注入，等等？config.php $mysql_hostname = "localhost"; $mysql_password = ""; $prefix = "&
浏览 5提问于2014-10-10得票数 0
2回答
.: Max 500 charactersUse #en3#实体() $GoodText = htmlentities($Text, ENT_QUOTES, "UTF-8");Use mysql_real_escape_string()在DB $db->store($User, $GoodText);中使用$GoodText = mysql_real_escape_string($GoodText);Store
据我所知，第3步和第
浏览 3提问于2010-12-28得票数 3
回答已采纳
我没有使用mysql或php的经验，我在我的问题中一直提到这一点，但人们总是说你需要mysql注入保护，我已经查过了，我真的不明白。有谁可以帮我？我是mysql的新手，用起来有点麻烦。当我用鼠标右键点击查看我的源代码时，没有任何php/mysql出现。$conn = mysql_connect("", "", "");
if (!mysql_select_db("&quo
浏览 0提问于2011-10-26得票数 0
回答已采纳
所以我对PHP非常陌生，而且我还在学习。我刚刚学到了有关超级全局的知识，并使用POST、GET、SESSION、COOKIES等来测试我目前的知识，我做了一个简单的登录代码。其中有两个页面，一个用于登录，另一个是只有登录用户才能到达的目标。这很简单，只有一个密码“测试通过”，并通过if-语句进行检查。用户名可以是用户想要的任何东西。我显然会增加更多的功能到这个项目，如注册页面，帐户信息更改设置等。但我不能做到这一点，除非我的主要代码是坚实的。所以我的问题是，从安全的角度来说，这代码可以吗？你会做什么不同的，如果有非安全问题，我也想知道。<form method="po
浏览 2提问于2015-05-13得票数 0
回答已采纳
是否有一种方式让非管理员PostgreSQL用户发现它可以在连接到的服务器上访问哪些数据库，更具体地说，这些数据库中的哪个有一个具有特定名称的表，用户有足够的权限查看(可能还有查询)？据我所知，MySQL等价物是这样的：
SELECT t.TABLE_SCHEMA FROM information_schema.
浏览 0提问于2012-09-17得票数 3
回答已采纳
3回答
我有一个web应用程序，它将SQL注入作为INSERT语句的一部分。它看起来是这样的：我可以插入常规的多查询注入，比如');truncate table1;--，但是由于使用的是Java + MySQL，所以它不允许堆叠多个查询，因此上面的注入将导致来自MySQL的错误，并且第二个查询永远不
浏览 1提问于2009-07-12得票数 2
1回答
我正在娱乐地将PHP/MySQL系统迁移到Amazon服务。我有多个MySQL数据库，目前由phpMyAdmin管理。我经常要跨查询数据库，PDO在一个查询中跨越两个或多个数据库。如果我将代码迁移到EC2，将数据库跨到Amazon，那么是否仍然可以使用PHP / MySQL / PDO中的单个查询来交叉查询多个数据库？
如果是这样的话
浏览 1提问于2016-05-10得票数 0
回答已采纳
本文(PDF格式)讨论了一种基于大量查询的盲注入技术。与普通的基于时间的技术相比，有人能向我解释使用大量查询的目的吗？也许，当禁用存储过程和基准函数时，使用大量查询是否是执行一些漏洞调查的唯一方法？
就MySQL而言，它需要30秒的时间，这意味着什么？我的推理是:如果需要30秒，那么注入的查询(繁重的查询)就可以执行，因为查询是专门为MYSQL量身定做的，所以数据库平台是MySQL
浏览 0提问于2013-01-28得票数 2
回答已采纳
我习惯于在PHP/MySQL中进行开发，没有开发SQL Server的经验。我已经浏览过文档，在我所读到的一些方法中，它看起来类似于MySQLi。Server与MySQL之间关于SQL预防的区别是什么？
还有- 的帖子准确吗？Server的转义字符串字符是单引号吗？
浏览 18提问于2010-04-09得票数 13
回答已采纳
4回答
我使用shell脚本与MySQL数据库通信。MySQL支持将查询指定为外壳参数，如下所示：但是，如果我有一个参数，我想在查询中使用它，我如何保护自己免受注入攻击呢一种天真的方法是将变量值粘贴到请求中，但这不是很安全：
mysql my_db -B -N -e "select id from Table where name='
浏览 1提问于2010-12-15得票数 12
4回答
REQUEST['room'];$time = $_REQUEST['time']; { }
mysql_select_db('mdb_hj942', $con
浏览 1提问于2012-01-05得票数 0
回答已采纳
解释了如何使用TypeORM和定义实体连接到MySQL。如何使用进行此操作
浏览 3提问于2018-12-18得票数 2
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM活动推荐
腾讯云开发者
