现在 SQL 注入都这么普遍了

2016-01-22 09:51:17 +08:00
 jugelizi

为什么还有好多有人维护的升级的开源项目还在拼接 sql 语句呢？
现状是 SQL 的过滤几乎一直被绕过，却还是依赖过滤来处理？

3170 次点击
所在节点    问与答
12 条回复
neutrino
2016-01-22 09:58:29 +08:00
现在抓包劫持都这么普遍了，我还是不愿意上 SSL 。
int64ago
2016-01-22 10:08:34 +08:00
MongoDB ，让他们注入去
virusdefender
2016-01-22 10:14:07 +08:00
@int64ago mongo 也可以注入的~

http://drops.wooyun.org/tips/3939
plqws
2016-01-22 10:51:09 +08:00
@virusdefender 能把 nosql 用成 sql 真的是活该被注入…
int64ago
2016-01-22 10:51:55 +08:00
@virusdefender 这一点代表性都没有……
用 MongoDB 一般不会这样用
wy315700
2016-01-22 10:56:33 +08:00
@int64ago MongoDB 也有注入，不过难一点而已
virusdefender
2016-01-22 10:59:38 +08:00
@int64ago

还真有这样用的

http://www.wooyun.org/bugs/wooyun-2010-086474

http://www.wooyun.org/bugs/wooyun-2015-0112230
imlonghao
2016-01-22 12:06:52 +08:00
@virusdefender 我发现我好像就是这样写的.....
f7ee9404
2016-01-22 12:50:06 +08:00
现在 isp 都玩起了 http 劫持了， sql 注入有专门的工具 不懂也会点呀
klausgao
2016-01-22 14:04:13 +08:00
不要相信前端的数据，做好数据校验，这些都是渣渣没用。
zwzmzd
2016-01-22 14:45:00 +08:00
用 prepare 类似的语句，查询的时候会自动转义数据，应该不存在注入的问题吧
BOYPT
2016-01-22 15:19:55 +08:00
噗 长见识了 居然有人这样用 mongodb ……

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://tanronggui.xyz/t/252534

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.

© 2021 V2EX