php中常見(jiàn)的sql攻擊正則表達(dá)式匯總
Jun 06, 2016 pm 08:18 PM這篇文章主要介紹了php中常見(jiàn)的sql攻擊正則表達(dá)式,實(shí)例匯總了針對(duì)各種常見(jiàn)的SQL語(yǔ)句及正則表達(dá)式原理的分析與應(yīng)用,對(duì)于PHP程序設(shè)計(jì)的安全來(lái)說(shuō)具有很好的參考借鑒
本文實(shí)例講述了php中常見(jiàn)的sql攻擊正則表達(dá)式。分享給大家供大家參考。具體分析如下:
我們都已經(jīng)知道,在MYSQL 5+中 information_schema庫(kù)中存儲(chǔ)了所有的 庫(kù)名,表明以及字段名信息。故攻擊方式如下:
1. 判斷第一個(gè)表名的第一個(gè)字符是否是a-z中的字符,其中blind_sqli是假設(shè)已知的庫(kù)名。
注:正則表達(dá)式中 ^[a-z] 表示字符串中開(kāi)始字符是在 a-z范圍內(nèi)
復(fù)制代碼 代碼如下:
index.php?id=1 and 1=(SELECT 1 FROM information_schema.tables WHERE TABLE_SCHEMA="blind_sqli" AND table_name REGEXP '^[a-z]' LIMIT 0,1) /*
2. 判斷第一個(gè)字符是否是a-n中的字符
復(fù)制代碼 代碼如下:
index.php?id=1 and 1=(SELECT 1 FROM information_schema.tables? WHERE TABLE_SCHEMA="blind_sqli" AND table_name REGEXP '^[a-n]' LIMIT 0,1)/*
3. 確定該字符為n
復(fù)制代碼 代碼如下:
index.php?id=1 and 1=(SELECT 1 FROM information_schema.tables? WHERE TABLE_SCHEMA="blind_sqli" AND table_name REGEXP '^n' LIMIT 0,1) /*
4. 表達(dá)式的更換如下
復(fù)制代碼 代碼如下:
expression like this:? '^n[a-z]' -> '^ne[a-z]' -> '^new[a-z]' -> '^news[a-z]' -> FALSE
這時(shí)說(shuō)明表名為news ,要驗(yàn)證是否是該表明 正則表達(dá)式為'^news$',但是沒(méi)這必要 直接判斷 table_name = 'news‘ 不就行了。
5.接下來(lái)猜解其它表了 只需要修改 limit 1,1 -> limit 2,1就可以對(duì)接下來(lái)的表進(jìn)行盲注了。
例如:
復(fù)制代碼 代碼如下:
$Exec_Commond? = "( \s|\S)*(exec(\s|\+)+(s|x)p\w+)(\s|\S)*";
$Simple_XSS = "( \s|\S)*((%3C)|)(\s|\S)*";
$Eval_XSS? = "( \s|\S)*((%65)|e)(\s)*((%76)|v)(\s)*((%61)|a)(\s)*((%6C)|l)(\s|\S)*";
$Image_XSS? = "( \s|\S)*((%3C)|)(\s|\S)*" ;
$Script_XSS = "( \s|\S)*((%73)|s)(\s)*((%63)|c)(\s)*((%72)|r)(\s)*((%69)|i)(\s)*((%70)|p)(\s)*((%74)|t)(\s|\S)*";
$SQL_Injection = "( \s|\S)*((%27)|(')|(%3D)|(=)|(/)|(%2F)|(")|((%22)|(-|%2D){2})|(%23)|(%3B)|(;))+(\s|\S)*";
sql攻擊代碼:
復(fù)制代碼 代碼如下:
function customError($errno, $errstr, $errfile, $errline)
{
??? echo "Error number: [$errno],error on line $errline in $errfile
";
??? die();
}
set_error_handler("customError",E_ERROR);
$getfilter="'|(and|or)\b.+?(>|
$postfilter="\b(and|or)\b.{1,6}?(=|>|
$cookiefilter="\b(and|or)\b.{1,6}?(=|>|
function StopAttack($StrFiltKey,$StrFiltValue,$ArrFiltReq)
{???
??? if(is_array($StrFiltValue))
??? {
??????? $StrFiltValue=implode($StrFiltValue);
??? }
??? if (preg_match("/".$ArrFiltReq."/is",$StrFiltValue)==1&&!isset($_REQUEST['securityToken']))
??? {
??????? slog("
操作IP: ".$_SERVER["REMOTE_ADDR"]."
操作時(shí)間: ".strftime("%Y-%m-%d %H:%M:%S")."
操作頁(yè)面:".$_SERVER["PHP_SELF"]."
提交方式: ".$_SERVER["REQUEST_METHOD"]."
提交參數(shù): ".$StrFiltKey."
提交數(shù)據(jù): ".$StrFiltValue);
??????? print "result notice:Illegal operation!";
??????? exit();
??? }
}
foreach($_GET as $key=>$value)
{
??? StopAttack($key,$value,$getfilter);
}
foreach($_POST as $key=>$value)
{
??? StopAttack($key,$value,$postfilter);
}
foreach($_COOKIE as $key=>$value)
{
??? StopAttack($key,$value,$cookiefilter);
}
??
function slog($logs)
{
??? $toppath="log.htm";
??? $Ts=fopen($toppath,"a+");
??? fputs($Ts,$logs."rn");
??? fclose($Ts);
}
?>
sql分析:
如果使用這個(gè)函數(shù)的話(huà),這個(gè)函數(shù)會(huì)繞開(kāi)PHP的標(biāo)準(zhǔn)出錯(cuò)處理,,所以說(shuō)得自己定義報(bào)錯(cuò)處理程序(die())。
其次,如果代碼執(zhí)行前就發(fā)生了錯(cuò)誤,那個(gè)時(shí)候用戶(hù)自定義的程序還沒(méi)有執(zhí)行,所以就不會(huì)用到用戶(hù)自己寫(xiě)的報(bào)錯(cuò)處理程序?!?/p>
那么,PHP里有一套錯(cuò)誤處理機(jī)制,可以使用set_error_handler()接管PHP錯(cuò)誤處理,也可以使用trigger_error()函數(shù)主動(dòng)拋出一個(gè)錯(cuò)誤。
set_error_handler()函數(shù)設(shè)置用戶(hù)自定義的錯(cuò)誤處理函數(shù)。函數(shù)用于創(chuàng)建運(yùn)行期間的用戶(hù)自己的錯(cuò)誤處理方法。它需要先創(chuàng)建一個(gè)錯(cuò)誤處理函數(shù),然后設(shè)置錯(cuò)誤級(jí)別?! ?br>
關(guān)于的用法:
復(fù)制代碼 代碼如下:

Outils d'IA chauds

Undress AI Tool
Images de déshabillage gratuites

Undresser.AI Undress
Application basée sur l'IA pour créer des photos de nu réalistes

AI Clothes Remover
Outil d'IA en ligne pour supprimer les vêtements des photos.

Clothoff.io
Dissolvant de vêtements AI

Video Face Swap
échangez les visages dans n'importe quelle vidéo sans effort grace à notre outil d'échange de visage AI entièrement gratuit?!

Article chaud

Outils chauds

Bloc-notes++7.3.1
éditeur de code facile à utiliser et gratuit

SublimeText3 version chinoise
Version chinoise, très simple à utiliser

Envoyer Studio 13.0.1
Puissant environnement de développement intégré PHP

Dreamweaver CS6
Outils de développement Web visuel

SublimeText3 version Mac
Logiciel d'édition de code au niveau de Dieu (SublimeText3)

L'entrée vocale de l'utilisateur est capturée et envoyée au backend PHP via l'API MediaRecorder du JavaScript frontal; 2. PHP enregistre l'audio en tant que fichier temporaire et appelle STTAPI (tel que Google ou Baidu Voice Recognition) pour le convertir en texte; 3. PHP envoie le texte à un service d'IA (comme Openaigpt) pour obtenir une réponse intelligente; 4. PHP appelle ensuite TTSAPI (comme Baidu ou Google Voice Synthesis) pour convertir la réponse en fichier vocal; 5. PHP diffuse le fichier vocal vers l'avant pour jouer, terminant l'interaction. L'ensemble du processus est dominé par PHP pour assurer une connexion transparente entre toutes les liens.

La méthode principale de création de fonctions de partage social dans PHP est de générer dynamiquement des liens de partage qui répondent aux exigences de chaque plate-forme. 1. Obtenez d'abord la page actuelle ou les informations d'URL et d'article spécifiées; 2. Utilisez UrLencode pour coder les paramètres; 3. épisser et générer des liens de partage en fonction des protocoles de chaque plate-forme; 4. Afficher les liens sur l'avant pour que les utilisateurs puissent cliquer et partager; 5. Générez dynamiquement des balises OG sur la page pour optimiser l'affichage du contenu du partage; 6. Assurez-vous d'échapper à la saisie des utilisateurs pour empêcher les attaques XSS. Cette méthode ne nécessite pas d'authentification complexe, a de faibles co?ts de maintenance et convient à la plupart des besoins de partage de contenu.

Pour réaliser la correction d'erreur de texte et l'optimisation de la syntaxe avec l'IA, vous devez suivre les étapes suivantes: 1. Sélectionnez un modèle ou une API d'IA appropriée, tels que Baidu, Tencent API ou bibliothèque NLP open source; 2. Appelez l'API via Curl ou Guzzle de PHP et traitez les résultats de retour; 3. Afficher les informations de correction d'erreur dans l'application et permettre aux utilisateurs de choisir d'adopter l'adoption; 4. Utilisez PHP-L et PHP_CODESNIFFER pour la détection de syntaxe et l'optimisation du code; 5. Collectez en continu les commentaires et mettez à jour le modèle ou les règles pour améliorer l'effet. Lorsque vous choisissez AIAPI, concentrez-vous sur l'évaluation de la précision, de la vitesse de réponse, du prix et du support pour PHP. L'optimisation du code doit suivre les spécifications du PSR, utiliser le cache raisonnablement, éviter les requêtes circulaires, revoir le code régulièrement et utiliser x

1. La maximisation de la valeur commerciale du système de commentaires nécessite de combiner la livraison précise de la publicité native, les services à valeur ajoutée par l'utilisateur (tels que le téléchargement d'images, les commentaires de recharge), d'influencer le mécanisme d'incitation basé sur la qualité des commentaires et la conformité de la monétisation anonyme des données de données; 2. La stratégie d'audit doit adopter une combinaison de mécanismes de filtrage des mots clés dynamiques pré-audit et de signalement des utilisateurs, complétés par une note de qualité des commentaires pour réaliser une exposition hiérarchique de contenu; 3. Anti-brosses nécessite la construction d'une défense multicouche: la vérification sans capteur RecaptChav3, le robot de reconnaissance de champ de miel, IP et la limite de fréquence d'horodatage empêchent l'arrosage, et la reconnaissance du modèle de contenu marque les commentaires suspects et itéra en continu pour traiter les attaques.

PHP assure l'atomicité de la déduction des stocks via les transactions de base de données et les verrous en ligne de Forupdate pour empêcher la survente élevée élevée en simultation; 2. La cohérence de l'inventaire multiplateforme dépend de la gestion centralisée et de la synchronisation axée sur les événements, combinant des notifications API / WebHook et des files d'attente de messages pour assurer une transmission fiable de données; 3. Le mécanisme d'alarme doit définir un faible inventaire, un inventaire zéro / négatif, des ventes invidables, des cycles de réapprovisionnement et des stratégies de fluctuations anormales dans différents scénarios, et sélectionner Dingtalk, SMS ou les personnes responsables par e-mail en fonction de l'urgence, et les informations d'alarme doivent être complètes et claires pour réaliser l'adaptation et la réponse rapide.

PhpisstillRelevantinmodernerterpriseenvironments.1.modernPhp (7.xand8.x) offre des performances, des stricts, un jitcompilation, et modernsyntax, rendant la main

Le r?le principal de Homebrew dans la construction de l'environnement Mac est de simplifier l'installation et la gestion des logiciels. 1. Homebrew gère automatiquement les dépendances et encapsule les processus de compilation et d'installation complexes en commandes simples; 2. Fournit un écosystème de package logiciel unifié pour assurer la normalisation de l'emplacement et de la configuration de l'installation logicielle; 3. Intègre les fonctions de gestion des services et peut facilement démarrer et arrêter les services via BrewServices; 4. Mise à niveau et maintenance des logiciels pratiques et améliore la sécurité et les fonctionnalités du système.

Pour construire un microservice PHP flexible, vous devez utiliser RabbitMQ pour obtenir une communication asynchrone, 1. Découplez le service via des files d'attente de messages pour éviter les défaillances en cascade; 2. Configurer des files d'attente persistantes, des messages persistants, une confirmation de libération et un ACK manuel pour assurer la fiabilité; 3. Utilisez des échecs de traitement de la sécurité de la file d'attente de la file d'attente de la file d'attente de la file d'attente de la file d'attente de la file d'attente de la file d'attente de la file d'attente de la file d'attente; 4. Utilisez des outils tels que SuperVisord pour protéger les processus de consommation et permettre des mécanismes de battements cardiaques pour assurer la santé des services; et finalement réaliser la capacité du système à opérer en continu en échecs.
