防止SQL注入攻击

使用预编译可以自动防止SQL注入攻击。

 

一般来说下面的案例是典型的容易受攻击的做法

$query = “select * from db_name where name=’name’ and password=’xxxxxx’  “;

//看看有没有查询到

if(查询到){

header(“admin.php”); //登录成功,跳到管理员界面

}

else {

header(“login.php”);  //登录失败跳回到登录页面

}

为什么说上面的代码容易被攻击,因为要想让$query执行成功,很简单

只要这样写就可以了,

$query= ” select   *  from  db_name where name=’name’  and password=’xx’ or 1=’1′ “;

密码乱写也没关系,这句语句仍然会成功执行。

下面是解决办法:

1.采用预编译,就是mysqli_stmt类文件来执行数据库查询语句。

2.更改登录逻辑

第一步根据用户的名字来查询密码

然后再调用数据库获得密码与这个密码比对,通过之后再登录到管理员界面。这样就防止密码被看到,因为密码和用户名不是放在同一个数据表中,自然黑客就不能通过上面手段看到密码了。

标签