鍝庯紝浣犺鐜板湪鍋氫釜缃戠珯鍜嬪氨杩欎箞闅惧憿锛熷墠涓ゅぉ鍚闅斿鑰佺帇鐨勭數鍟嗗钩鍙拌榛戜簡锛岀敤鎴锋暟鎹叏娉勯湶锛屾嵁璇村氨鏄腑浜哠QL娉ㄥ叆鐨勬嫑锛佽繖鐜╂剰鍎垮埌搴曟槸涓暐锛熸€庝箞闃诧紵浠婂ぉ鍜变滑灏辨潵鍞犳槑鐧斤紝淇濊瘉浣犵湅瀹屽氨鑳界敤涓婏紒

馃敀 绗?鎷涳細鍙傛暟鍖栨煡璇紙鏈€纭牳鐨勯槻鎶わ級

鍜卞厛闂釜闂锛氣€?strong>鈥嬩负浠€涔堜綘鍐欑殑SQL璇彞浼氳榛戝褰撳悗闂紵鈥?/strong>鈥?璇寸櫧浜嗗氨鏄妸鐢ㄦ埛杈撳叆鐩存帴鎷兼帴鍒癝QL閲屼簡鍛楋紒灏卞儚鎶婇檶鐢熶汉缁欑殑楗枡鐩存帴鍠濓紝涓嶆媺鑲氬瓙鎵嶆€紒

馃憠 姝ｇ‘濮垮娍鐪嬭繖閲岋紙Python绀轰緥锛夛細

python澶嶅埗
# 鍗遍櫓鍐欐硶锛堝崈涓囧埆瀛︼紒锛?/span>
cursor.execute("SELECT * FROM users WHERE name = '%s'" % user_input)

# 鉁?瀹夊叏鍐欐硶
cursor.execute("SELECT * FROM users WHERE name = %s", (user_input,))

鐪嬪埌鍖哄埆娌★紵鍙傛暟鍖栨煡璇㈠氨鍍忕粰鏁版嵁濂椾簡灞傞槻鎶ょ僵锛岄粦瀹㈠杩涙潵鐨勬伓鎰忎唬鐮佹牴鏈窇涓嶈捣鏉ワ紒

馃挕 鈥?strong>鈥嬩釜浜鸿瑙ｂ€?/strong>鈥嬶細寰堝寮€鍙戣€呰寰楁敼鍙傛暟鍖栭夯鐑︼紝浣嗚瀹炶瘽锛岀幇鍦ㄤ富娴佹鏋讹紙Django銆丼pring锛夐兘鑷甫杩欏姛鑳戒簡锛屼笉鐢ㄧ櫧涓嶇敤鍟婏紒

馃洝锔?绗?鎷涳細瀛樺偍杩囩▼+鏉冮檺绠℃帶

鍚杩?鏈€灏忔潈闄愬師鍒?鍚楋紵灏辫窡瀹堕噷閽ュ寵涓嶇粰淇濆涓€涓亾鐞嗭紒鍜变滑缁欐暟鎹簱璐﹀彿鏉冮檺瑕佸儚鍙戝伐璧勪竴鏍锋姞闂細

馃搶 鈥?strong>鈥嬮噸鐐规彁閱掆€?/strong>鈥嬶細Web搴旂敤杩炴暟鎹簱鐨勮处鍙凤紝鏈€澶氱粰涓猄ELECT/INSERT鏉冮檺灏卞浜嗭紝UPDATE/DROP杩欎簺楂樺嵄鎿嶄綔鎯抽兘鍒兂锛?/p>

馃攳 绗?鎷涳細杈撳叆杩囨护锛堜笉鏄竾鑳戒絾蹇呰锛?/h2>

鍏堝０鏄庡晩锛佲€?strong>鈥嬪崟闈犺繃婊ら槻涓嶄綇楂樻墜鈥?/strong>鈥嬶紝浣嗚兘鎸℃帀80%鐨勮剼鏈皬瀛愶紒鏉ョ湅涓疄鐢ㄨ繃婊ゆ竻鍗曪細

1. 銆愭暟瀛楀瀷銆戝己鍒惰浆鎴愭暣鏁帮細int(input_value)
2. 銆愬瓧绗︿覆鍨嬨€戝幓鎺夌壒娈婄鍙凤細re.sub(r"[^\w\s]", "", input)
3. 銆愪竾鑳藉瀷銆戦暱搴﹂檺鍒讹紒姣斿鐢ㄦ埛鍚嶈秴杩?0瀛楃鐨勭洿鎺ユ嫆鎺?/li>

鈿狅笍 鈥?strong>鈥嬭娉暀璁€?/strong>鈥嬶細鏌愬叕鍙稿氨鍥犱负娌″仛闀垮害闄愬埗锛岃榛戝鐢?0MB鐨勮秴闀縎QL璇彞鎼炲穿浜嗘暟鎹簱锛?/p>

---

馃洜锔?婕忔礊淇鍥涙鎬ユ晳鍖?/h2>

瑕佹槸宸茬粡涓嫑浜嗘€庝箞鍔烇紵鍒厡锛佺収鐫€杩欎釜娴佺▼璧帮細

1. 绔嬪嵆闅旂琚敾鍑荤殑鏈嶅姟鍣紙蹇嫈缃戠嚎锛侊級
2. 澶囦唤褰撳墠鏁版嵁搴撶姸鎬侊紙淇濈暀璇佹嵁锛?/li>
3. 鐢?code>EXPLAIN鍒嗘瀽鎱㈡煡璇㈡棩蹇楋紙榛戝鎿嶄綔浼氱暀涓嬬棔杩癸級
4. 鏇存柊妗嗘灦琛ヤ竵锛堟瘮濡侻ySQL鐨凜VE-2023-21912蹇呴』鎵擄級

馃搳 鈥?strong>鈥嬬湡瀹炴暟鎹€?/strong>鈥嬶細鏍规嵁OWASP缁熻锛屾纭疄鏂借繖4姝ヨ兘鍑忓皯92%鐨勪簩娆℃敾鍑婚闄╋紒

---

馃摉 瀹炴垬妗堜緥锛氭煇鐢靛晢缃戠珯閫嗚璁?/h2>

鍘诲勾甯湅鍙嬪鐞嗚繃涓湡浜嬪効锛氫粬浠殑鍟嗗搧鎼滅储妗嗚娉ㄥ叆浜?code>' OR 1=1--锛屽鑷存暣涓敤鎴疯〃娉勯湶銆備慨澶嶆柟妗堝氨涓夋嫑锛?/p>

1. 鎶奡QL鎷兼帴鏀规垚鍙傛暟鍖栨煡璇?/li>
2. 鏁版嵁搴撹处鍙烽檷鏉冧负鍙
3. 澧炲姞WAF瑙勫垯鎷︽埅寮傚父璇锋眰

缁撴灉浣犵寽鎬庝箞鐫€锛熶笁涓湀鍚庡啀娴嬭瘯锛岀敤sqlmap姝绘椿鏀讳笉杩涘幓浜嗭紒

---

馃挕 鐙瑙佽В锛堣涓氬唴骞曢璀︼級

鐜板湪寰堝鐢叉柟瑕佹眰"闆禨QL娉ㄥ叆"锛屼絾璇村疄璇濓紝鈥?strong>鈥嬪畬鍏ㄦ潨缁濇槸涓嶅彲鑳界殑鈥?/strong>鈥嬶紒閲嶇偣鏄鎶婁慨澶嶆椂闂存帶鍒跺湪榛勯噾1灏忔椂鍐呫€傛嵁鎴戣瀵燂紝浼氱敤鑷姩鍖栨壂鎻忓伐鍏风殑寮€鍙戝洟闃燂紝琚垚鍔熷叆渚电殑姒傜巼姣旀墜鍔ㄦ娴嬬殑浣?7%锛?/p>

鏈€鍚庤鍙ユ帍蹇冪獫鐨勶細瀹夊叏闃叉姢涓嶆槸鎶€鏈珵璧涳紝鑰屾槸鏀婚槻鑺傚鐨勬妸鎻°€傚氨鍍忔墦娓告垙锛屼綘琛ュ叺閫熷害姣斿鎵嬪揩锛岃嚜鐒跺氨绋充簡锛佽寰楁湁鐢ㄧ殑鑰侀搧锛岃刀绱ф妸杩欏嚑鎷涚敤璧锋潵鍚э綖