最常用的SQL注入攻击

Question

我正在开发一个新的应用程序，我想测试它是否容易受到攻击。我知道一些常见的攻击，但也许你可以提供更多来让我的应用程序更安全。

谢谢！

Answer 1

查看此信息：http://ferruh.mavituna.com/sql-injection-cheatsheet-oku/ 还有一个名为SQL Inject Me的Firefox附加组件，但现在它不适用于Firefox 6

Answer 2

没有理由测试多个攻击向量。简单地传递用于引用字符串的字符（通常为'）如果对SQL注入开放则会导致语法错误 - 除非您有IDS或基于签名的检测方法。

Answer 3

• 始终使用正确的函数转义变量（例如，$pdo->quote()或mysql_real_escape_string()，具体取决于您使用的扩展程序）
• 尽可能使用 prepared statements
• 永远不要过早地逃避变量，否则你永远不会知道它们是否被转义。尽可能逃避他们，并始终认为他们没有逃脱。
• 正确设置连接编码

如果你这样做，你就不会受到SQL注入的攻击（前提是你不要忘记逃避某些事情）。