利用PHP程序设定防止MySQL注入或HTML表单滥用

作者佚名技术来源 NET编程浏览发布时间 2012-05-25

MySQL注入的意图是接管网站数据库并窃取信息。常见的开源数据库，如MySQL，已经被许多网站开发人员用来储存重要信息，如密码，个人信息和管理信息。

　　MySQL之所以流行，是因为它与最流行的服务器端脚本语言PHP一起使用。而且，PHP是主导互联网的Linux- Apache服务器的主要语言。因此，这意味着黑客可以很容易地利用PHP就像Windows的间谍软件一样。

　　黑客向一个无担保的网页表单输入大量恶意代码(通过下拉菜单，搜索框，联系表单，查询表单和复选框)。

　　恶意代码将被送到MySQL数据库，然后“注入”。要查看这个过程，首先考虑以下基本的MySQL SELECT查询语句：

　　SELECT * FROM xmen WHERE username = ''wolverine''

　　此查询会向有“xmen”表的数据库要求返回某一段MySQL中用户名为“wolverine”的数据。

　　在Web表单中，用户将输入wolverine，然后这些数据将被传到MySQL查询。

　　如果输入无效，黑客还有其他方法控制数据库，如设置用户名：

　　'' OR ''''=''''

　　你可能认为使用正常的PHP和MySQL句法执行输入是安全的，因为每当有人输入恶意代码，他们将会得到一个“无效的查询”的消息，但事实并非如此。黑客很聪明，且因为涉及数据库清理和重设管理权限，任何一个安全漏洞都不容易纠正。

　　两种对MySQL注入攻击的常见误解如下：

　　1.网管认为恶意注入可用防病毒软件或反间谍软件清理。事实是，这种类型的感染利用了MySQL数据库的弱点。它不能简单地被任何反间谍软件或防病毒程序删除。

　　2. MySQL注入是由于复制了从另一台服务器或外部来源被感染的文件。事实并非如此。这种类型的感染是由于有人将恶意代码输入到网站不受保护表单，然后访问数据库。MySQL注入可通过删除恶意脚本清除掉，而不是使用防病毒程序。

　　用户输入验证流程

　　备份一个清洁的数据库，并放置在服务器外。输出一套MySQL表并保存在桌面。

　　然后转到服务器，先暂时关闭表单输入。这意味着表单不能处理数据，网站被关闭了。

　　然后启动清理进程。首先，在您的服务器上，清理遗留的混乱的MySQL注入。更改所有的数据库，FTP和网站的密码。

　　在最坏的情况下，如果你清理迟了，你可以再次检查在您服务器上运行的隐藏程序。这些隐藏程序是黑客安装的木马。将其完全删除并更改所有FTP权限。扫描服务器上所有木马程序和恶意软件。

　　当您修改PHP脚本程序时，将处理表单数据。防止MySQL注入的一个好办法是：连用户数据也不信任。用户输入验证对于防止MySQL注入是相当重要的。

　　设计一个过滤器筛选出用户输入，以下是几点提示：

　　1.输入到表单的是数字。你可以通过测试它等于或大于0.001 (假设你不接受一个零)验证它是不是数字。

　　2.如果是Email地址。验证其是否由允许的字符组合构成，如“ @ ” ，A-Z,a-z或一些数字。

　　3.如果是人名或用户名。可以通过是否包含任何非法字符验证它，如and和*,是可用于SQL注入的恶意字符。

验证数字输入

　　下面的脚本验证了是否输入一个从0.001至无限大的有效数字。值得一提的是，在一个PHP程序中，甚至可以允许使用一定范围内的数字。使用此验证脚本可确保输入到表单的只是一个数字。

　　假设在程序中有三个数字变量;您需要将它们进行验证，我们将它们命名num1 ， num2和num3：

//Validate numerical input
　　if( 利用PHP程序设定防止MySQL注入或HTML表单滥用 - 凌众科技

网站建设|独享带宽服务器|优惠促销机型|付款方式|联系我们

快速业务通道

欢迎光临凌众科技，我们将竭诚为您提供最优质的服务！业务电话：0592-5908028 技术支持电话：0592-5908020

技术文章 > Web编程 > PHP编程 > 正文

文件 -1 text win2 服务域名

利用PHP程序设定防止MySQL注入或HTML表单滥用

作者佚名技术来源 NET编程浏览发布时间 2012-05-25

content

凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!