Как я могу узнать, уязвим ли мой сайт для SQL-инъекций?

Question

Я знаю, что этот вопрос задавали многие люди, но, к сожалению, я не смог найти правильный ответ на свой вопрос.

Во всех статьях, которые я читал об SQL-инъекциях, они рассказывают о URL-адресах, так что http://www.example.com/member.php?id=1 и как я могу проверить, уязвим ли мой сайт для SQL-инъекций, используя (').

В моем случае мой сайт таков, что: http://www.example.com/Login.php Как вы видите, у меня нет? Id = 1, что я должен сделать, чтобы проверить мой сайт?

Спасибо

Answer 1

Вы уязвимы для SQL-инъекций из-за использования жестко закодированных переменных частей вашего запроса.Другими словами, использование именованных параметров предотвращает это.

Если вы просто слепо берете строки и вставляете их в свои запросы без параметров или санитарных условий, вы в основном разрешаете публичных людей (то есть потенциально плохих людей).) прямой доступ для написания кода SQL для вашей базы данных.

SQL-инъекция - тема, которую трудно уместить в SO-ответе, поэтому я настоятельно рекомендую статью Википедии по SQLИнъекции .

Answer 2

Вы уязвимы для SQL-инъекций, если вы принимаете пользовательский ввод и используете SQL. Вопрос о том, достаточно ли вы защитили себя от SQL-инъекций, - это другой вопрос.

Answer 3

SQL-инъекция - это возможность вставлять SQL-запросы непосредственно в предварительно настроенный код вашего сайта. Это можно сделать с помощью чего-то простого: ';' добавлен символ для добавления вашего кода, но никоим образом не ограничен этим.

Чтобы проверить ваш сайт на наличие XSS, лучше всего убедиться, что все входные данные, взятые с веб-страницы, проверены перед запуском в вашу базу данных. Например, это означает, что в коде вашего приложения вы проверяете, что кнопка публикации на вашем веб-сайте содержит только те параметры, которые вы ожидаете, и ничего более. Проверка и ограничения на местах являются основными уязвимостями, которые вы пытаетесь ограничить.

Не используйте свою веб-страницу в качестве инструмента проверки. Хакеры, желающие использовать XSS, не обязательно будут использовать вашу страницу для этого. Это означает, что ваша бизнес-логика - это то, что нужно оценивать.