php addslashes及其他清除空格的方法是不安全的


Posted in PHP onJanuary 25, 2012

清除空格的方法是不安全的,部分原因是因为字符中的空格非常多,例如 "addslashes的问题在 于黑客 可以用0xbf27来代替单引号,而addslashes只是将0xbf27修改为0xbf5c27,成为一个有效的多字节字符,其中的0xbf5c仍会 被看作是单引号,所以addslashes无法成功拦截。"

最好是按照具体的参数需求校验确定是 int 等不是,外加数据库的参数操作方法.其实这个是数据库的 sql 问题,应该从源头数据库本身来解决,只不过有些数据库滑提供相应的方法罢了.

SQL注入攻击是黑客攻击网站最常用的手段。如果你的站点没有使用严格的用户输入检验,那么常容易遭到SQL注入攻击。SQL注入攻击通常通过给站点数据库提交不良的数据或查询语句来实现,很可能使数据库中的纪录遭到暴露,更改或被删除。

为了防止SQL注入攻击,PHP自带一个功能可以对输入的字符串进行处理,可以在较底层对输入进行安全上的初步处理,也即Magic Quotes。(php.ini magic_quotes_gpc)。如果magic_quotes_gpc选项启用,那么输入的字符串中的单引号,双引号和其它一些字符前将会被自动加 上反斜杠\。

但Magic Quotes并不是一个很通用的解决方案,没能屏蔽所有有潜在危险的字符,并且在许多服务器上Magic Quotes并没有被启用。所以,我们还需要使用其它多种方法来防止SQL注入。

许 多数据库本身就提供这种输入数据处理功能。例如PHP的MySQL操作函数中有addslashes()、 mysql_real_escape_string()、mysql_escape_string()等函数,可将特殊字符和可能引起数据库操作出错的字 符转义。那么这三个功能函数之间有什么却别呢?下面我们就来详细讲述下。

虽然国内很多PHP程序员仍在依靠addslashes防止SQL注入,还是建议大家加强中文防止SQL注入的检查。addslashes的问题在 于黑客 可以用0xbf27来代替单引号,而addslashes只是将0xbf27修改为0xbf5c27,成为一个有效的多字节字符,其中的0xbf5c仍会 被看作是单引号,所以addslashes无法成功拦截。

当然addslashes也不是毫无用处,它是用于单字节字符串的处理,多字节字符还是用mysql_real_escape_string吧。

另外对于php手册中get_magic_quotes_gpc的举例:
if (!get_magic_quotes_gpc()) {
$lastname = addslashes($_POST[‘lastname']);
} else {
$lastname = $_POST[‘lastname'];
}
最好对magic_quotes_gpc已经开放的情况下,还是对$_POST['lastname']进行检查一下。

再说下mysql_real_escape_string和mysql_escape_string这2个函数的区别:
mysql_real_escape_string 必须在(PHP 4 >= 4.3.0, PHP 5)的情况下才能使用。否则只能用 mysql_escape_string ,两者的区别是:mysql_real_escape_string 考虑到连接的当前字符集,而mysql_escape_string 不考虑。

总结一下:

* addslashes() 是强行加\;
* mysql_real_escape_string() 会判断字符集,但是对PHP版本有要求;
* mysql_escape_string不考虑连接的当前字符集。

dz中的防止sql注入就是用addslashes这个函数,同时在dthmlspecialchars这个函数中有进行一些替换$string = preg_replace('/&((#(\d{3,5}|x[a-fA-F0-9]{4}));)/', '&\\1',这个替换解决了注入的问题,同时也解决了中文乱码的一些问题

PHP 相关文章推荐
第十四节--命名空间
Nov 16 PHP
PHP实现MVC开发得最简单的方法――模型
Apr 10 PHP
php 文本文件的读取效率
Feb 10 PHP
解析php开发中的中文编码问题
Aug 08 PHP
php面向对象中的魔术方法中文说明
Mar 04 PHP
PHP实现图片自动清理的方法
Jul 08 PHP
优化WordPress中文章与评论的时间显示
Jan 12 PHP
php版微信公众平台入门教程之开发者认证的方法
Sep 26 PHP
Laravel 中使用 Vue.js 实现基于 Ajax 的表单提交错误验证操作
Jun 30 PHP
PHP+ajax实现获取新闻数据简单示例
May 08 PHP
Thinkphp 5.0实现微信企业付款到零钱
Sep 30 PHP
Laravel-添加后台模板AdminLte的实现方法
Oct 08 PHP
PHP中创建空文件的代码[file_put_contents vs touch]
Jan 20 #PHP
php中将数组存到文件里的实现代码
Jan 19 #PHP
PHP取进制余数函数代码
Jan 19 #PHP
PHP采集腾讯微博的实现代码
Jan 19 #PHP
Php图像处理类代码分享
Jan 19 #PHP
调试一段PHP程序时遇到的三个问题
Jan 17 #PHP
php中可能用来加密字符串的函数[base64_encode、urlencode、sha1]
Jan 16 #PHP
You might like
玩转图像函数库―常见图形操作
2006/09/03 PHP
解析web文件操作常见安全漏洞(目录、文件名检测漏洞)
2013/06/29 PHP
php用正则判断是否为数字的方法
2016/03/25 PHP
PHP实现的同步推荐操作API接口案例分析
2016/11/30 PHP
PHP中数组转换为SimpleXML教程
2019/01/27 PHP
javascritp实现input输入框相关限制用法
2007/06/29 Javascript
HTML中事件触发列表与解说
2007/07/09 Javascript
js生成缩略图后上传并利用canvas重绘
2014/05/15 Javascript
使用js画图之正弦曲线
2015/01/12 Javascript
jQuery实现动画效果circle实例
2015/08/06 Javascript
使用RequireJS库加载JavaScript模块的实例教程
2016/06/06 Javascript
JavaScript实现in-place思想的快速排序方法
2016/08/07 Javascript
angular.js指令中transclude选项及ng-transclude指令详解
2017/05/24 Javascript
js实现鼠标移动到图片产生遮罩效果
2017/10/21 Javascript
Vue响应式原理深入解析及注意事项
2017/12/11 Javascript
vue用Object.defineProperty手写一个简单的双向绑定的示例
2018/07/09 Javascript
vue实现引入本地json的方法分析
2018/07/12 Javascript
使用konva和vue-konva库实现拖拽滑块验证功能
2020/04/27 Javascript
react-router-dom 嵌套路由的实现
2020/05/02 Javascript
jQuery 选择方法及$(this)用法实例分析
2020/05/19 jQuery
JavaScript中ES6规范中let和const的用法和区别
2020/08/06 Javascript
原生js 实现表单验证功能
2021/02/08 Javascript
[27:39]Ti4 循环赛第二日 LGD vs Fnatic
2014/07/11 DOTA
基于循环神经网络(RNN)的古诗生成器
2018/03/26 Python
python 读取文件并把矩阵转成numpy的两种方法
2019/02/12 Python
django admin.py 外键,反向查询的实例
2019/07/26 Python
浅谈Pycharm最有必要改的几个默认设置项
2020/02/14 Python
django的模型类管理器——数据库操作的封装详解
2020/04/01 Python
matplotlib quiver箭图绘制案例
2020/04/17 Python
巴西网上药房:onofre
2016/11/21 全球购物
.NET面试题:什么是值类型和引用类型
2016/01/12 面试题
银行自荐信范文
2013/10/07 职场文书
我的小天地教学反思
2014/04/30 职场文书
2014年小学德育工作总结
2014/12/05 职场文书
幼儿园教师工作总结2015
2015/04/02 职场文书
工会经费申请报告
2015/05/15 职场文书