


Adakah mysql_real_escape_string() Terdedah kepada SQL Injection dengan Pengekodan Asia?
Nov 27, 2024 pm 10:54 PMMenilai Keselamatan mysql_real_escape_string() terhadap SQL Injection dengan Asian Encodings
Soalan:
Kerentanan keselamatan telah dilaporkan mendakwa bahawa mysql_real_escape_string() boleh dipintas menggunakan pengekodan aksara Asia tertentu, seperti BIG5 atau GBK. Adakah kelemahan ini sah, dan jika ya, bagaimanakah kita boleh mengurangkannya tanpa menggunakan pernyataan yang disediakan?
Jawapan:
Menurut Stefan Esser, pembangun PHP, mysql_real_escape_string( ) tidak selamat sepenuhnya terhadap suntikan SQL apabila tetapan pengekodan tertentu digunakan.
Penjelasan:
Isu timbul apabila arahan SET NAMES digunakan untuk mengubah pengekodan aksara pangkalan data. Perubahan dalam pengekodan ini mempengaruhi cara aksara khas, seperti garis miring ke belakang (), dilarikan. Mysql_real_escape_string() menganggap pengekodan lalai dan tidak melaraskan logik melarikan diri dengan sewajarnya.
Oleh itu, jika penyerang menggunakan pengekodan yang membenarkan garis miring ke belakang sebagai bait berikutnya, mysql_real_escape_string() mungkin tidak melarikan diri dengan betul daripada aksara ini. Ini boleh membawa kepada serangan suntikan SQL yang berjaya.
Mitigasi:
Untuk menyelesaikan kelemahan ini apabila pernyataan yang disediakan tidak tersedia:
- Gunakan mysql_set_charset() berfungsi untuk menetapkan pengekodan aksara pangkalan data secara eksplisit dan bukannya bergantung pada SET NAMES. Ini memastikan bahawa mysql_real_escape_string() beroperasi dengan maklumat pengekodan yang betul.
- Tukar kepada pengekodan yang selamat, seperti UTF-8, yang mengendalikan garis miring ke belakang dengan cara yang menghalang penyalahgunaannya dalam suntikan SQL.
Atas ialah kandungan terperinci Adakah mysql_real_escape_string() Terdedah kepada SQL Injection dengan Pengekodan Asia?. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!

Alat AI Hot

Undress AI Tool
Gambar buka pakaian secara percuma

Undresser.AI Undress
Apl berkuasa AI untuk mencipta foto bogel yang realistik

AI Clothes Remover
Alat AI dalam talian untuk mengeluarkan pakaian daripada foto.

Clothoff.io
Penyingkiran pakaian AI

Video Face Swap
Tukar muka dalam mana-mana video dengan mudah menggunakan alat tukar muka AI percuma kami!

Artikel Panas

Alat panas

Notepad++7.3.1
Editor kod yang mudah digunakan dan percuma

SublimeText3 versi Cina
Versi Cina, sangat mudah digunakan

Hantar Studio 13.0.1
Persekitaran pembangunan bersepadu PHP yang berkuasa

Dreamweaver CS6
Alat pembangunan web visual

SublimeText3 versi Mac
Perisian penyuntingan kod peringkat Tuhan (SublimeText3)

Topik panas

TosecurelyConnecttoaremotemysqlserver, usesshtunneling, configuremysqlforremoteaccess, setfirewallrules, andconsidersslencryption .First, DesiglishansshtunnelWithSSH-L3307: localhost: 3306user@remote-server-nandconnectviamysql-h127.0.0.1-p3307.second, editmys

Untuk menambah direktori bin MySQL ke laluan sistem, ia perlu dikonfigurasikan mengikut sistem operasi yang berbeza. 1. Sistem Windows: Cari folder bin dalam direktori pemasangan MySQL (laluan lalai biasanya c: \ programfiles \ mysql \ mysqlserverx.x \ bin), klik kanan "Komputer ini" → "sifat" → "Tetapan Sistem Lanjutan" → " MySQL-Pengesahan versi; 2.Macos dan Sistem Linux: Pengguna Bash Edit ~/.bashrc atau ~/.bash_

MySqlworkbench menyimpan maklumat sambungan dalam fail konfigurasi sistem. Laluan khusus berbeza mengikut sistem operasi: 1. 2. Ia terletak di ~/Perpustakaan/Applicationsupport/MySQL/Workbench/Connections.xml dalam sistem macOS; 3. Ia biasanya terletak di ~/.mysql/workbench/connections.xml dalam sistem linux atau ~/.local/share/data/mysql/wor

Hidupkan log pertanyaan perlahan MySQL dan menganalisis isu prestasi lokasi. 1. Edit fail konfigurasi atau ditetapkan secara dinamik SLOW_QUERY_LOG dan LONG_QUERY_TIME; 2. Log mengandungi medan utama seperti query_time, lock_time, rows_examined untuk membantu menilai kesesakan kecekapan; 3. Gunakan alat mysqldumpslow atau pt-query-digest untuk menganalisis log dengan cekap; 4. Cadangan pengoptimuman termasuk menambah indeks, mengelakkan pilih*, memisahkan pertanyaan kompleks, dan lain -lain. Sebagai contoh, menambah indeks ke user_id dapat mengurangkan jumlah baris yang diimbas dan meningkatkan kecekapan pertanyaan.

MySQLDUMP adalah alat yang biasa untuk melakukan sandaran logik pangkalan data MySQL. Ia menjana fail SQL yang mengandungi penyataan CREATE dan INSERT untuk membina semula pangkalan data. 1. Ia tidak menyandarkan fail asal, tetapi menukarkan struktur dan kandungan pangkalan data ke dalam arahan SQL mudah alih; 2. Ia sesuai untuk pangkalan data kecil atau pemulihan selektif, dan tidak sesuai untuk pemulihan data tahap TB yang cepat; 3. Pilihan biasa termasuk--single-transaksi,-databases,-semua data,-routin, dan sebagainya; 4. Gunakan perintah MySQL untuk mengimport semasa pemulihan, dan boleh mematikan cek utama asing untuk meningkatkan kelajuan; 5. Adalah disyorkan untuk menguji sandaran secara teratur, menggunakan mampatan, dan pelarasan automatik.

Apabila mengendalikan nilai null dalam MySQL, sila ambil perhatian: 1. Apabila mereka bentuk jadual, medan utama ditetapkan kepada notnull, dan bidang pilihan dibenarkan NULL; 2. Isnull atau Isnotnull mesti digunakan dengan = atau! =; 3. Fungsi Ifnull atau Coalesce boleh digunakan untuk menggantikan nilai lalai paparan; 4. Berhati -hati apabila menggunakan nilai null secara langsung apabila memasukkan atau mengemas kini, dan perhatikan sumber data dan kaedah pemprosesan rangka kerja ORM. Null mewakili nilai yang tidak diketahui dan tidak sama dengan nilai, termasuk dirinya sendiri. Oleh itu, berhati -hati apabila menanyakan, menghitung, dan menghubungkan jadual untuk mengelakkan data yang hilang atau kesilapan logik. Penggunaan fungsi dan kekangan yang rasional dapat mengurangkan gangguan yang disebabkan oleh null.

Untuk menetapkan semula kata laluan root MySQL, sila ikuti langkah -langkah berikut: 1. Hentikan pelayan MySQL, gunakan sudosystemctlstopmysql atau sudosystemctlstopmysqld; 2. Mulakan MySQL In-Skip-Grant-Tables Mode, laksanakan sudomysqld-skip-gergaji meja &; 3. Log masuk ke MySQL dan laksanakan perintah SQL yang sepadan untuk mengubah suai kata laluan mengikut versi, seperti flushprivileges; alteruser'root '@' localhost'identifiedby'your_new

Untuk menyemak versi MySQL, anda boleh menggunakan kaedah berikut dalam Windows Command Prompt: 1. Gunakan baris arahan untuk melihat secara langsung, masukkan MySQL-Version atau MySQL-V; 2. Selepas log masuk ke klien MySQL, laksanakan pemilihan () ;; 3. Cari secara manual melalui laluan pemasangan, beralih ke direktori mysql bin dan jalankan mysql.exe-versi. Kaedah ini sesuai untuk senario yang berbeza, dua yang pertama digunakan paling biasa, dan yang ketiga sesuai untuk situasi di mana pembolehubah persekitaran tidak dikonfigurasi.
