1. 程式人生 > >數據庫與前端的簡單建立及過濾註入參數

數據庫與前端的簡單建立及過濾註入參數

png 表達 strong 過濾 內容 分享圖片 rom news 小寫

數據庫配置:sqlin下的news表

技術分享圖片


1.最簡單的數據庫連接,無任何過濾,可以看出是個數字型註入。.

 ![](https://images2018.cnblogs.com/blog/1397720/201807/1397720-20180721114329440-1562257139.png)

查詢數據庫,我們這裏只看sqlin(也可以看其他的,因為連接的時候為root權限)

技術分享圖片

查表

技術分享圖片

查列

技術分享圖片

查內容,from數據庫.表名

技術分享圖片

註意:當查詢表名和列名的時候where table_name=’news’會報錯,把news轉化為16進制就好了。

2.對id進行is-numeric()過濾

技術分享圖片


3.對關鍵字進行過濾 union,select,and,or...

技術分享圖片

這個時候只要有select都會被換為空
但是可以大小寫不同繞過,比如SelECT
過濾大小寫用strtolower($id)函數解決大小寫繞過
或者直接用$id=str_ireplace("select","",$id);這個函數不區分大小寫
正則表達式確定繞過的對象

數據庫與前端的簡單建立及過濾註入參數