我正在读我那本值得信赖的O‘’Reilly书，偶然发现了一段关于Mongo如何自然地避免类似SQL注入的缺陷的文章。
在我的直觉里，我想我明白这一点。如果将未清理的JOIN传递到查询中，它们就不能使用UNION、var、查询转换为注释等打破面向文档的查询结构。
MongoDB如何避免SQL注入带来的混乱？这只是这个查询语法的本质吗？
浏览 1提问于2011-02-17得票数 71
回答已采纳
3回答
在遇到允许您配置和防止XSS攻击的antisamy项目之前，我试图编写自己的过滤器。但我只是想知道是否可以用同样的方法来防止sql注入攻击？
任何已经实现了防sql注入攻击的人，请让我知道我们如何前进。
浏览 8提问于2013-09-23得票数 0
回答已采纳
我的团队正在测试一些我们已经放弃SQL作为后端的产品。这意味着我们已经停止了围绕SQL注入的任何安全测试。我一直在怀疑，虽然SQL注入是不可能的，但是针对这些其他技术的其他类似的注入攻击是可能的，但我自己并没有太多的时间来研究这些技术。我们专门使用的两个非SQL解决方案是HBase(在Hadoop之上)和Cassandra。
是否有人对如何测试这些攻击有什么好的想法，或者有没有发现和测试这些潜在攻击的好的阅读、示例或方法？或者，任何能让我安心的阅读或解释，让我相信这些攻击是不可能的？我搜索了一下，没有找到任何关于这个问题的有用信息。
浏览 0提问于2012-12-14得票数 5
回答已采纳
1回答
在安全性方面，我是个新手，但我一直对SQL注入感兴趣，特别是对如何保护它们不感兴趣。我读过很多关于如何阻止你的网站进行SQL注入的文章，但我想知道谷歌在防止黑客使用搜索方面做了些什么。他们采取了何种措施来尽量减少这种情况(如果他们这样做的话)？
浏览 0提问于2016-10-05得票数 4
回答已采纳
只需在堆栈溢出上读取，就会让我怀疑是否可以通过CI中的活动记录进行SQL注入。
在我的项目中的大多数地方，对于用户注册和用户配置文件更新，我做了如下SQL插入：
控制器:
$name = $this->input->post('name');
$last_name = $this->input->post('last_name');
$age = $this->input->post('dob');
$user_data = array(
'name' => $name,
浏览 5提问于2012-09-19得票数 1
回答已采纳
5回答
我的php文件中有以下代码：
session_start();
include "connect.php";
if (isset($_POST['email']) && isset($_POST['password'])) {
$email = htmlspecialchars(mysqli_real_escape_string($conn, $_POST['email']));
$password = htmlspec
浏览 0提问于2014-01-04得票数 0
3回答
我想检查我的输入字符串的潜在SQL-注入。
下面是我的类、方法和查询：
public class UserNamesQuery {
public static String getUserNames(Map<String, Object> params) {
String userNames = (String) params.get("userNames");
return "SELECT * FROM users WHERE name IN (" + userNames + ") ";
}
浏览 14提问于2016-03-07得票数 1
回答已采纳
我使用的是SQL服务器，需要通过Python脚本运行以下SQL
SELECT DISTINCT LEN(Wav)-CHARINDEX('.', Wav) FROM <>;
我试着玩这个字符串，但是我想不出如何绕过这个圆点字符。
sql = 'SELECT DISTINCT LEN(Wav)-CHARINDEX({}, Wav) FROM xxx'.format('.')
print(sql)
cursor = conn.cursor()
cursor.execute(sql)
知道怎么解决这个问题吗？
谢谢
浏览 3提问于2021-02-24得票数 1
回答已采纳
2回答
SQL注入的OData关注点
、、、、
假设我有一个充满健康记录的数据库和一个ASP.NET MVC应用程序。假设有人使用URL "/api/medicalRecords?$filter=id 0“来调用Ajax请求。在我看来，它对SQL注入是开放的-就像10-15年前一样……
这是否意味着它在标准上是对SQL注入开放的，还是依赖于服务器端(我使用的是IQueryable结果和实体框架4)？
我知道身份验证机制是必要的--但是为了解决这个问题，假设没有可用的身份验证机制……
浏览 0提问于2012-12-01得票数 9
回答已采纳
虽然这种情况并不常见，但我知道，如果要调用使用参数来构造和执行动态SQL的存储过程，则使用参数化查询仍然可以使用SQL注入。
我很好奇，即使您使用参数化查询，是否还有其他可能使用SQL注入的边缘场景？动态SQL是唯一的陷阱吗？
浏览 0提问于2014-11-19得票数 4
回答已采纳
建议永远不要信任用户，并在将输入存储到数据库之前过滤所有输入，以避免sql注入等等。
用户密码呢？我应该在储存之前做任何消毒吗？如果我这样做，用户输入他们的密码登录可能不匹配的清洁版本。
(密码在存储前被加密)。
最好的做法是什么？
浏览 6提问于2017-02-16得票数 2
回答已采纳
1回答
目标:动态生成对SQL注入的PreparedStatement免疫。
// This is a bad method. SQL injection danger . But it works
private PreparedStatement generateSQLBad(Connection connection, String tableName,
String columnName, String columnType) throws SQLException {
String sql = "create table "
浏览 0提问于2019-01-01得票数 2
回答已采纳
我们使用Wordpress作为内部Wiki。
我们使用的是Server。我知道Wordpress是面向MySQL的。
如果文章中有反斜杠，文章将不会发布。它只会将文章保存为“自动草稿”，但它将清除您的提交页面，您的所有工作将完成。
您可以使用正斜杠，但当输入反斜杠时，所有内容都会丢失。
我知道它不是(Frontier)插件--它发生在管理中的普通帖子上--它不使用任何插件。
我使用了Server事件探查器。当有反斜杠时，SQL参数将不正确地由
`
(严肃的口音/背诵)性格。这就是造成问题的原因。
📷
我还发现了以下内容:在具有正斜杠的第一列之后，SQL语句后面的所有列都错误地获得了后退
我该怎
浏览 0提问于2017-04-13得票数 0
我想知道JRequest::getVar()函数是否足够好来防止sql注入或XSS，或者在joomla站点中使用其他方法来防止XSS或sql注入肯定更好。
浏览 4提问于2013-02-27得票数 1
2回答
分页更新号
、、、
我想知道有没有可能。
我有一个分页脚本，使用php从mysql数据库获取内容，并使用jquery处理所有内容。
我想添加一个过滤器到分页，这将摆脱一些内容基于用户的选择。
在设置过滤器时，我希望更新分页编号，以补偿已删除的项目。
我最担心的是，我会直接从数据库中获取要显示的页面数量，这将使其无法在过滤时更新分页编号：
<?php
include('config.php');
$per_page = 3;
//Calculating no of pages
$sql = "select * from explore";
$result = mysql_qu
浏览 1提问于2010-02-06得票数 0
回答已采纳
请验证我的sql查询是否足够安全，不会受到google sql攻击
<a href="secondpage.php?name=men">men</a>
上面的链接将转到下一页，并传递name变量，该变量的值为men…在第二个页面中，我执行sql查询，如下所示。
$lcSearchVal=$_GET['name'];
$lcSearcharr=explode("-",$lcSearchVal);
foreach( $lcSearcharr as $lcSearchWord ){
$lcSearchWord = mysqli
浏览 1提问于2014-05-21得票数 0
2回答
我已经用我的代码做了相当多的研究和准备，试图防止SQL注入，但我想讨论一些我不太确定的事情。
我知道mysqli_real_escape_string不转义_(下划线)和%(百分号)字符。如果我在SQL语句中没有使用任何LIKE子句，这会给我带来任何风险吗？
下面是我感兴趣讨论的一个实例的示例。这是我正在使用的登录脚本。我希望确保我不会在这里暴露出任何注入漏洞。您的见解和反馈将不胜感激。
// Initiate login process if the mode is set to login
if ($_REQUEST['mode'] == "login")
浏览 0提问于2011-06-17得票数 1
回答已采纳
我一直对上述sql注入预防方法的优缺点感到好奇。
PHP过滤器只是检查输入的格式是否正确，并返回true或false，您可以选择将其发送到服务器。
函数将特殊字符转换为字符串等价物。
我不完全确定sqli准备如何工作，因为到目前为止我对sql的了解有限，但是如果您使用PHP筛选函数和/或htmlspecialchars，我是否正确地假设它没有必要？
注意:如果我做错了，请保持燃烧的建设性，我仍然在学习PHP和SQL。
浏览 3提问于2014-06-21得票数 2
回答已采纳
这段代码不受SQL注入的影响吗？为什么？
public void AddPlayer(string username)
{
var query = "INSERT INTO dbo.Player(Username, RegisterDate) VALUES(@Username, @RegisterDate)";
using (var connection = new SqlConnection(connectionString))
using (var command = new SqlCommand(query, con
浏览 6提问于2011-07-23得票数 2
回答已采纳
1回答
既然我使用PDO来防止SQL注入，我是否仍然需要应用PHP的数据过滤器来确保输入的格式是正确的？PDO能保护所有类型的注射吗？
$STH = $DBH->prepare("SELECT * from jem WHERE email=? AND pass=? LIMIT 0,1");
任何有关登录脚本的更多提示都将是帮助。
浏览 5提问于2010-09-19得票数 0
2回答
正如我在很多文章中读到的，当我使用JPA/Hibernate查询时，最好在查询中设置参数，这样就可以避免SQL注入。像这样：
select user from User user where user.name = :name and user.surname = :surname
我的问题是，在某些情况下，我需要在创建查询时使用原生查询。
我将使用我的实体管理器和createNativeQuery。但在这种情况下，参数将是位置参数。像这样：
select * from users where user_name = ? and user_surname = ?
然后在我的查询中，我将使用方法
浏览 0提问于2012-04-07得票数 5
回答已采纳
2回答
我有一个spring应用程序，并且正在运行ZAP活动扫描。
我注意到ZAP将修改URL，并添加名为query和value query+AND+1%3D1+--+的附加参数来测试SQL。在我的例子中，它会引发较高的中等SQL注入。
应用程序甚至没有读取参数query，因此确定响应始终是相同的，不管是否有此参数。所以我的问题是
通过添加一个未被应用程序读取的参数并将其作为SQL注入警报来测试SQL注入背后的逻辑是什么？我可以理解在应用程序中读取的参数的值何时被更改，而不是这个值。这在我工作的web应用程序中引发了假阳性SQL注入。
这与我在Stackoverflow中提出的一个问题有关，但还没有找
浏览 0提问于2018-08-17得票数 4
2回答
我尝试在存储过程中使用动态SQL语句来根据用户的输入过滤查询。我从basic开始，只有一个参数需要在数据库中查找匹配的名字。
CREATE PROCEDURE dbo.uspFilter
@FirstName varchar(100) = null,
@Debug bit = 1
AS
DECLARE @SQL nvarchar(max);
DECLARE @Params nvarchar(max);
DECLARE @Search nvarchar(300);
SELECT @Params = N'@FirstName varchar(300) = null
浏览 30提问于2018-01-05得票数 0
回答已采纳
1回答
我正在开发一个应用程序在vb.net和access作为后端
在搜索表单中，我有六个控件- loanno、name、contact、sname、vno、vname。我想在任何给定的组合场景中搜索数据。我的搜索查询如下
If lno_txt.Text = "" And pname_txt.Text = "" And con_txt.Text = "" And sname_txt.Text = "" And vname_txt.Text = "" And vno_txt.Text = "" Then
浏览 0提问于2015-07-27得票数 0
为什么建议将单引号或双引号放在HTML属性值周围？建议防止XSS，但为什么？
SQL注入也是如此:建议在查询中声明输入值时使用单引号或双引号？
在SQL查询或HTML属性中声明未引用的输入值有哪些风险？
浏览 0提问于2018-08-08得票数 0
5回答
过滤来自用户( POST和GET)的输入以避免SQL注入和类似的事情的行业标准是什么？到目前为止，我使用的是filter_input()和mysql_real_escape_string()函数？这足够了吗?如果不够，我还应该使用什么其他方法？
浏览 1提问于2011-02-23得票数 1
回答已采纳
2回答
我有网站如ASP.net作为前端和SQL Server2005作为后端。但是我在我的后端面临着一个非常奇怪的SQL注入。一些类型的CSS与HTML垃圾网站追加他们的代码到我的网站数据库与每个表和每个varchar类型的列。例如
</title><style>.acoi{position:absolute;clip:rect(439px,auto,auto,439px);}</style><div class=acoi>Apply here <a href=http://gogopaydayloans.com>payday loans&
浏览 0提问于2013-06-10得票数 0
4回答
我通常在查询时使用sql参数，但在这种情况下，我需要动态创建的不仅仅是参数。
有人能在任何一个变量上使用注入吗？除了存储过程之外，是否有一种通过代码防止注入的简单方法？
string whereClause = "WHERE " + filter.ToString() + " > " + nextStartPoint;
string orderBy = "ORDER BY " + filter.ToString() + " DESC";
ex
string sql = "SELECT TOP(" + n
浏览 6提问于2012-01-14得票数 1
回答已采纳
2回答
我刚刚发现了，我有几个问题：
PHPIDS能保护不受自动sql注入攻击吗？
它能保护不受DOS攻击吗？
它是否足以单独使用，还是我也必须使用其他方法？
它可靠吗？
浏览 7提问于2011-02-25得票数 1
回答已采纳
3回答
我有一个很好的下拉列表工作，这是从一个表的团队(FK)填充。唯一不起作用的是将数据添加到匹配中。我一直收到以下错误：
- team_home not set
- team_away not set
- Notice: Undefined index: team_home in vvo/insertmatch.php on line 28
- Notice: Undefined index: team_away in vvo/insertmatch.php on line 28
- Error: You have an error in your SQL syntax; check t
浏览 0提问于2012-04-12得票数 0
回答已采纳
$s = "Update member_date" [snip]
$p = $pdo->prepare($s, array(PDO::ATTR_CURSOR => PDO::CURSOR_FWDONLY));
$p->execute();
这是否被认为是一条“准备好的”语句，以证明它不会受到SQL注入类型的攻击？
更新：
$member_id= htmlspecialchars($_GET['member_id']);
s1 = "
update member_date
set member_date= now()
where memb
浏览 3提问于2017-02-05得票数 0
2回答
参数化查询基础
、、
我使用过参数化查询次数，我知道它有助于防止SQL注入。但是，我想知道什么是在参数化查询中工作的基本逻辑，以防止SQL注入--这可能非常简单，但我不知道。我试着搜索google，它的基础是什么，但是每次我发现一个如何在Asp.net中使用参数化查询的例子。
我知道如何创建一个特殊的类来停止在SQL注入中使用的('，--等)特殊字符，但是仅仅停止特殊字符会完全阻止SQL注入吗？
最后一件事是.net参数化查询可以完全停止SQL注入吗？
浏览 15提问于2010-12-15得票数 2
回答已采纳
1回答
我使用mysqli准备的语句和绑定变量。
然后，为了防止sql注入，是否需要使用用户输入来执行其他操作(例如:数据类型验证、筛选、清理、字符串转义等)？
除了Sql注入之外，还有其他攻击MySql数据库的方法吗？
浏览 5提问于2013-09-28得票数 3
我正在努力减少我的web应用程序的漏洞，这样我的web应用程序就可以不受SQL注入的影响。那么，我可以使用触发器来减少一些SQL注入攻击吗？
浏览 2提问于2015-09-28得票数 0
回答已采纳
我有一个调用存储过程并将搜索结果返回给web浏览器的java代码，我面临的问题是该过程接受来自浏览器的参数，现在即使我在java中使用PreparedStatement，用户输入也只是为了调用该过程而进行消毒，但是一旦传递的值进入存储过程，它就再次容易受到SQL注入的攻击。
下面是一段代码片段
Java代码
stmt=con.prepareStatement("call myProcedure(?,?)");
.
.
rs = stmt.executeQuery();
我的mysql过程：-
CREATE PROCEDURE myProcedure(IN userinput
浏览 0提问于2020-04-10得票数 0
1回答
我正在调用一个web服务，并将一个动态生成的SQL字符串传递给它。此字符串包含用户输入。它目前是使用简单的字符串连接构建的，因此容易受到SQL注入攻击。我不能使用普通的参数化SQL解决方案，因为我没有从我的应用程序执行命令。
我的第一个尝试是构建一个参数化的SqlCommand对象。但是，似乎没有任何方法来提取最终的SQL语句。我的第二个尝试是使用，但这似乎与我的原始代码有相同的问题:将SQL命令与用户输入连接在一起。
那么，如何在不编写自己的输入过滤逻辑(即.Replace("'", "''")？)的情况下生成SQL？有没有内置的类或者
浏览 1提问于2012-04-12得票数 2
1回答
对于我的客户，我正在构建一个自定义报表生成器，这样他们就可以创建自己的报表了。
其概念是:在控件表中，它们填充报表列的内容。每一列可以由来自不同数据源(=表)的数据组成，也可以由一个公式组成。
下面是一个简化的示例，它的外观如下：
Column | Source | Year | Account | Formula
----------------------------------------------
col1 | TAB1 | 2015 | SALES | (null)
col2 | TAB2 | 2014 | SALES | (null)
c
浏览 2提问于2015-05-15得票数 0
回答已采纳
2回答
我想为CSRF攻击创建一个黑名单。例如，在SQL injection中，可以在黑名单中设置select、from、where、drop等关键字。我想知道有没有可能创建CSRF攻击黑名单？
浏览 45提问于2016-09-04得票数 0
回答已采纳
1回答
我对FuelPHP框架非常陌生。现在，我正在为一个位置列表实现一个“自动完成”。
我的代码如下所示：
public function action_search($term=null){
$clean_query = Security::clean($term);
$data["locations"] = array();
if ($clean_query != "") {
$data["locations"] = Model_Orm_Location::query()
浏览 3提问于2012-11-12得票数 2
回答已采纳
我不明白发生了什么事，所以我希望你能帮我。
有什么问题吗？
我在我的模块中创建了一个过滤器，注入它(找不到任何拼写错误或类似的东西)，Chrome控制台抛出错误: Unkown Provider。
我的密码
angular.module('Prizeplay.Lobby.Browser', ['ui.router', 'ui.bootstrap']);
angular.module('Prizeplay.Lobby.Browser')
.filter('tournamentFilter', [functio
浏览 3提问于2014-11-23得票数 0
我使用Dapper来处理sql数据库。我在我的网站项目中有一些搜索逻辑。
我的搜索得到字符串参数的列表。
//filter is list of strings
var sql = new StringBuilder();
sql.Append("SELECT LibraryDocumentId FROM LibraryDocumentKeywords WHERE ");
sql.Append(string.Join("OR ", filter.Select(f => string.Format("LOWER(Keyword) LIKE
浏览 2提问于2014-05-15得票数 1
回答已采纳
2回答
我想找到一个最佳的方式来减轻SQL注入在CodeIgniter框架开发的web应用程序(web应用程序使用MS SQL后端数据库与ODBC连接)。
让我们假设我有一个简单易受攻击的代码，如下所示：
$this->db->query("SELECT * FROM users WHERE Login = '".$_GET['name']."'");
此查询显然容易受到通过HTTP GET参数"name“进行的SQL注入的攻击。
我已经阅读了CodeIgniter文档和我可以在网上找到的所有内容，以了解如何在Code
浏览 3提问于2017-06-09得票数 2
1回答
我有一些代码可以调用甲骨文。我想知道，我试图这样做的方式是否可以做得更好，或者甲骨文代码是否更有效率。
我关注的主要问题是对UPPER('%Variable%')进行比较。上半身的外牌看起来可能会慢得危险。
结果可以返回超过5万的结果(预计将在未来大幅增长)。
1=1的目的很简单，就是为了使其余的代码更简单，并认为它不会对sql造成太大的损害。
<c:set var="sqltext">
SELECT var1, var2, var3 from var_table
WHERE 1=1
<c:if test="${
浏览 0提问于2014-04-22得票数 0
回答已采纳
关于自定义过滤器，我有几个问题
1)当我们创建自定义过滤器时，是否必须在控制器中注入自定义过滤器以从控制器函数调用它？
我见过一段代码，其中person创建自定义过滤器并从控制器function...is调用它是可能的吗？看看密码。我还没试过呢。
<div ng-app="myapp" ng-controller="myctl">
<input id="btnok" type="button" value="ShowItems" ng-click="myfunction();
浏览 6提问于2016-04-20得票数 2
回答已采纳
我有一个文本区，用户添加注释也。在下一页上，我使用$_POST[Comments]来显示键入的内容。我有一个编辑按钮，可以返回查看输入的内容并编辑笔记，但是当我显示$_POST[Comments]时，它会显示直到撇号为止的所有内容。
示例：
最初输入：Let's try this.
编辑时：Let
现在，当我将它传递给服务器进行SQL添加时，我使用以下函数来防止SQL注入
function keepSafe($value) {
if (get_magic_quotes_gpc()) {
$value = stripslashes($value);
浏览 0提问于2012-12-05得票数 2
回答已采纳
我在访问日志中看到了一些条目，其中'A=0被添加到查询参数中，例如：
http://www.server.org/foo/?bar=1'A=0&type=xml
'A=0附加到的参数各不相同，但始终是'A=0，因此这似乎不太可能是某个不小心被点击的格式错误的URL。而且，引用程序总是与目标URL相同，这使我认为它是一个完全人造的请求。
我不明白的是这是要做什么。假设这是一次SQL注入尝试，它似乎会生成无效的SQL，而只是失败。我遗漏了什么吗？
浏览 0提问于2015-12-17得票数 0
6回答
这段代码容易受到SQL注入的影响吗？
function SaveUser($usu,$pass,$name){
$sql="insert into usuarios(USU,PASS,NOMBRE,ESTADO)
values('$usu',md5('$pass'),'$name','$apellido2','A')";
...
}
浏览 0提问于2014-03-22得票数 0
4回答
防止SQL注入
、、
我正在尝试学习php，并想使用一个函数来保护免受SQL注入！但不知何故，格式记录我的数据库中包含任何特殊字符的每个数据，如'"=)/()/*/
我的filter函数：
function filter($data) {
$data = trim(htmlentities(strip_tags($data)));
if (get_magic_quotes_gpc())
$data = stripslashes($data);
$data = mysql_real_escape_string($data);
return $dat
浏览 3提问于2012-07-24得票数 3
回答已采纳
2回答
我了解SQL注入攻击的基本过程。有人告诉我，防止这种攻击的一种方法是频繁地更改表名！这有可能吗？如果是这样的话，有人能给我提供一个链接来更多地阅读它，因为我在网上找不到关于它的解释。
浏览 0提问于2016-10-12得票数 1
回答已采纳
这是在存储过程中，并且不起作用(我是指在exec部件上)：
ALTER PROCEDURE [sp_SalerTickets_AddByTemp]
@Filter varchar(8000),
@UserID int
AS
if (len(@Filter) = 0)
return
declare @ID varchar(10)
set @ID = convert(varchar(10), @UserID)
exec('insert into T_ActionTicketSale(ActionTicketID, UserID)
浏览 1提问于2014-01-31得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM活动推荐
腾讯云开发者
