


mysql_real_escape_string() est-il vulnérable à l'injection SQL avec des encodages asiatiques??
Nov 27, 2024 pm 10:54 PMévaluation de la sécurité de mysql_real_escape_string() contre l'injection SQL avec des codages asiatiques
Question?:
Une vulnérabilité de sécurité a été signalée affirmant que mysql_real_escape_string() peut être contournée en utilisant codages de caractères asiatiques spécifiques, tels que BIG5 ou GBK. Cette vulnérabilité est-elle valide, et si oui, comment pouvons-nous l'atténuer sans utiliser d'instructions préparées??
Réponse?:
Selon Stefan Esser, développeur PHP, mysql_real_escape_string( ) n'est pas totalement sécurisé contre l'injection SQL lorsque certains paramètres d'encodage sont utilisé.
Explication?:
Le problème survient lorsque la commande SET NAMES est utilisée pour modifier le codage des caractères de la base de données. Ce changement de codage affecte la fa?on dont les caractères spéciaux, tels que les barres obliques inverses (), sont échappés. Mysql_real_escape_string() suppose un codage par défaut et n'ajuste pas sa logique d'échappement en conséquence.
Par conséquent, si un attaquant utilise un codage qui autorise les barres obliques inverses dans les octets suivants, mysql_real_escape_string() peut ne pas échapper correctement à ces caractères. Cela pourrait conduire à une attaque par injection SQL réussie.
Atténuation?:
Pour résoudre cette vulnérabilité lorsque les instructions préparées ne sont pas disponibles?:
- Utilisez la fonction mysql_set_charset() pour définir explicitement le codage des caractères de la base de données au lieu de s'appuyer sur SET NAMES. Cela garantit que mysql_real_escape_string() fonctionne avec les informations de codage correctes.
- Passez à un codage s?r, tel que UTF-8, qui gère les barres obliques inverses de manière à empêcher leur utilisation abusive dans les injections SQL.
Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!

Outils d'IA chauds

Undress AI Tool
Images de déshabillage gratuites

Undresser.AI Undress
Application basée sur l'IA pour créer des photos de nu réalistes

AI Clothes Remover
Outil d'IA en ligne pour supprimer les vêtements des photos.

Clothoff.io
Dissolvant de vêtements AI

Video Face Swap
échangez les visages dans n'importe quelle vidéo sans effort grace à notre outil d'échange de visage AI entièrement gratuit?!

Article chaud

Outils chauds

Bloc-notes++7.3.1
éditeur de code facile à utiliser et gratuit

SublimeText3 version chinoise
Version chinoise, très simple à utiliser

Envoyer Studio 13.0.1
Puissant environnement de développement intégré PHP

Dreamweaver CS6
Outils de développement Web visuel

SublimeText3 version Mac
Logiciel d'édition de code au niveau de Dieu (SublimeText3)

Sujets chauds









ToseCurelyConnectToAremotemysQlServer, Usesshtunneling, ConfigureMysqlForremoteAccess, Setfirewallrules et Considersslincryption . Premier, établianshtunnelwithssh-l3307: localhost: 3306User @ Remote-Server-NandConnectViamysql-H127.0.0.1-P3307.Second, Editmys

Pour ajouter le répertoire bac de MySQL au chemin du système, il doit être configuré en fonction des différents systèmes d'exploitation. 1. Système Windows: Trouvez le dossier bin dans le répertoire d'installation MySQL (le chemin par défaut est généralement C: \ ProgramFiles \ MySQL \ MySQLServerx.x \ bin), cliquez avec le bouton droit "Cet ordinateur" → "Propriétés" → "Paramètres du système avancé" Invite et entrez MySQL - Vérification de Version; 2.Macos et Linux Systèmes: les utilisateurs bash modifient ~ / .bashrc ou ~ / .bash_

MySqlWorkBench stocke les informations de connexion dans le fichier de configuration du système. Le chemin spécifique varie en fonction du système d'exploitation: 1. Il est situé dans% appdata% \ mysql \ workbench \ connections.xml dans le système Windows; 2. Il est situé dans ~ / bibliothèque / applicationsupport / mysql / workbench / connections.xml dans le système macOS; 3. Il est généralement situé dans ~ / .mysql / workbench / connexion.xml dans le système Linux ou ~ / .local / share / data / mysql / wor

Allumez les journaux de requête lente MySQL et analysez les problèmes de performances localisés. 1. Modifiez le fichier de configuration ou définissez dynamiquement Slow_Query_Log et Long_Query_time; 2. Le journal contient des champs clés tels que Query_time, Lock_time, ROWS_EXAMINE pour aider à juger les goulots d'étranglement de l'efficacité; 3. Utilisez les outils MySqlDumpSlow ou Pt-Query-digest pour analyser efficacement les journaux; 4. Les suggestions d'optimisation incluent l'ajout d'index, d'éviter la sélection *, le fractionnement des requêtes complexes, etc. Par exemple, l'ajout d'un index à user_id peut réduire considérablement le nombre de lignes numérisées et améliorer l'efficacité de la requête.

MySQLDump est un outil commun pour effectuer des sauvegardes logiques des bases de données MySQL. Il génère des fichiers SQL contenant des instructions de création et d'insertion pour reconstruire la base de données. 1. Il ne sauvegarde pas le fichier d'origine, mais convertit la structure de la base de données et le contenu en commandes SQL portables; 2. Il convient aux petites bases de données ou à la récupération sélective et ne convient pas à la récupération rapide des données de niveau TB; 3. 4. Utilisez la commande MySQL pour importer pendant la récupération et peut désactiver les vérifications des clés étrangères pour améliorer la vitesse; 5. Il est recommandé de tester régulièrement la sauvegarde, d'utiliser la compression et de régler automatiquement.

Lors de la gestion des valeurs nuls dans MySQL, veuillez noter: 1. Lors de la conception du tableau, les champs clés sont définis sur Notnull et les champs facultatifs sont autorisés nuls; 2. ISNULL ou ISNOTNULL doit être utilisé avec = ou! =; 3. Les fonctions IFNULL ou Coalesce peuvent être utilisées pour remplacer les valeurs par défaut d'affichage; 4. Soyez prudent lorsque vous utilisez des valeurs nulles directement lors de l'insertion ou de la mise à jour, et faites attention aux méthodes de traitement de la source de données et du cadre ORM. NULL représente une valeur inconnue et n'égale aucune valeur, y compris lui-même. Par conséquent, soyez prudent lorsque vous interrogez, comptez et connectez les tables pour éviter les données manquantes ou les erreurs logiques. L'utilisation rationnelle des fonctions et des contraintes peut réduire efficacement les interférences causées par NULL.

Pour réinitialiser le mot de passe racine de MySQL, veuillez suivre les étapes suivantes: 1. Arrêtez le serveur MySQL, utilisez SudosystemCTlStopmysql ou SudosystemctlStopMysQLD; 2. Démarrez MySQL en - Skip-Grant-Tables, exécutez SudomysQld-Skip-Grant-Tables &; 3. Connectez-vous à MySQL et exécutez la commande SQL correspondante pour modifier le mot de passe en fonction de la version, telle que Flushprivileges; alterUser'root '@' localhost'identifiedby'your_new

Pour vérifier la version MySQL, vous pouvez utiliser les méthodes suivantes dans l'invite de commande Windows: 1. Utilisez la ligne de commande pour afficher directement, entrez MySQL - Version ou MySQL-V; 2. Après la connexion au client MySQL, exécutez SelectVersion () ;; 3. Recherchez manuellement dans le chemin d'installation, passer au répertoire du bin MySQL et exécuter MySQL.EXE - Version. Ces méthodes conviennent à différents scénarios, les deux premiers sont le plus couramment utilisés et le troisième convient aux situations où les variables d'environnement ne sont pas configurées.
