皮皮网

1.如何判断是否存在SQL注入以及注入类型？
2.[php]$email=$_POST['email'];$sql="insert into t_user(username,password,email,howknow) values('$user
3.php中的$_post[]
4.由于您提交的内容中含有危险的SQL注入代码，致使本次操作无效！

如何判断是否存在SQL注入以及注入类型？

       许多网站程序在编写时，没有对用户输入数据的linux进程调度源码合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，速推客源码根据程序返回的结果，获得某些想得知的数据，这就是所谓的SQL Injection，即SQL注入。如何判断网站是否存在POST注入呢！请看以下步骤操作做。

       POST注入操作介绍:

       1.POST注入一般发生在表单数据传输时、kettle8.2 源码抓取POST提交的数据进行SQL语句测试

       POST注入操作流程:

       比如抓取的POST数据为:userName=admin&password=admin

       测试诸如语句填写:userName=admin&password='admin 1=1--

       像这样userName 参数后面加一些SQL语句(注入测试语句)进行POST数据注入测试即可。

[php]$email=$_POST['email'];$sql="insert into t_user(username,password,email,howknow) values('$user

       1,接收值有$_POST,$_GET,还有$_REQUEST,其中，$_REQUEST是$_GET, $_POST 和 $_COOKIE的集合。通常我们都会用前两种就可以了。

       2.接收时指的是"name"。

       3.['email']是前台表单中的name="email"没错。

       4.$_POST与$_GET主要取决于你前台表单数据提交的方法，在表单中有这样一个属性：method="GET或POST",如果是GET,php就用$_GET获取数据。同样，是POST,就用$_POST获取。

       5.这个是smarty模板的赋值方法，error指的是模板中的一个标签，像这样{ $error},后面的$error是程序中的一个变量，也就是给模板{ $error}的值。

       å¦‚：

       æ¨¡æ¿ä»£ç ï¼š

       <div>{ $error}</div>

       ç¨‹åºä»£ç ï¼š

       <?php

       $error="对不起，你的密码出错！";

       $smarty->assign("error",$error);

>

       æœ€ç»ˆç»“果：

       <div>对不起，你的密码出错！</div>

php中的$_post[]

       1、先将$_POST打印出来，看看里面的name是否你预想的数据。（print_r($_POST)）

       2、确认了$_POST['name']有数据后，在$sql

       =

       ....这句后，不急着执行，先输出看看，是否预想的数据。如果$sql语句里的value里的内容都是空的话，下面的代码都不用调试了。

       ä½ çš„代码里有输出$_POST['name']，下面说到“$_POST[name]的值无法返回”，那就是说程序拿到的$_POST已经有问题了，如果你确认在表单的name里填了数据再提交，php里还是取不到$_POST['name']，将表单enctype属性改为multipart/form-data再试试。

由于您提交的内容中含有危险的SQL注入代码，致使本次操作无效！怎么编译系统源码

       你的网页代码里有一个SQL防注入程序

        如

       <%

       '--------数据库连接部分--------------

       dim dbkillSql,killSqlconn,connkillSql

       dbkillSql="SqlIn.asa"

       'On Error Resume Next

       Set killSqlconn = Server.CreateObject("ADODB.Connection")

       connkillSql="Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" & Server.MapPath(dbkillSql)

       killSqlconn.Open connkillSql

       If Err Then

        err.Clear

        Set killSqlconn = Nothing

        Response.Write "数据库连接出错，请检查连接字串。"

        Response.End

       End If

       '--------定义部份------------------

       Dim Fy_Post,虚拟币 OTC 源码Fy_Get,Fy_In,Fy_In2,Fy_Inf,Fy_Inf2,Fy_Xh,Fy_db,Fy_dbstr,Kill_IP,WriteSql

       '自定义需要过滤的字串,用 "|" 分隔

       'POST方式提交 表单一般采用的方式

       Fy_In = "'|exec|insert|delete%from|count|chr |mid|master|truncate|declare|drop%table|net%user|xp_cmdshell|/add|net%localgroup%administrators|.js"

       'GET方式提交 地址栏里提交参数一般采用的方式

       Fy_In2 = "'|exec|insert|delete%from|count|chr |mid|master|truncate|declare|drop%table|from|net%user|xp_cmdshell|/add|net%localgroup%administrators|Asc|char |.js"

       Kill_IP=True

       WriteSql=True

       '----------------------------------

       Fy_Inf = split(Fy_In,"|")

       '--------POST部份------------------

       If Request.Form<>"" Then

        For Each Fy_Post In Request.Form

        For Fy_Xh=0 To Ubound(Fy_Inf)

        If Instr(LCase(Request.Form(Fy_Post)),Fy_Inf(Fy_Xh))<>0 Then

        If WriteSql=True Then

        killSqlconn.Execute("insert into SqlIn(Sqlin_IP,SqlIn_Web,SqlIn_FS,SqlIn_CS,SqlIn_SJ) values('"&Request.ServerVariables("REMOTE_ADDR")&"','"&Request.ServerVariables("URL")&"','POST','"&Fy_Post&"','"&replace(Request.Form(Fy_Post),"'","''")&"')")

        killSqlconn.close

        Set killSqlconn = Nothing

        End If

        Response.Write "<Script Language=JavaScript>alert('系统禁止你提交数据，如有疑问请您联系管理员！Joyber QQ:');</Script>"

        Response.End

        End If

        Next

        Next

       End If

       '----------------------------------

       Fy_Inf2 = split(Fy_In2,"|")

       '--------GET部份-------------------

       If Request.QueryString<>"" Then

        For Each Fy_Get In Request.QueryString

        For Fy_Xh=0 To Ubound(Fy_Inf2)

        If Instr(LCase(Request.QueryString(Fy_Get)),Fy_Inf2(Fy_Xh))<>0 Then

        If WriteSql=True Then

        killSqlconn.Execute("insert into SqlIn(Sqlin_IP,SqlIn_Web,SqlIn_FS,SqlIn_CS,SqlIn_SJ) values('"&Request.ServerVariables("REMOTE_ADDR")&"','"&Request.ServerVariables("URL")&"','GET','"&Fy_Get&"','"&replace(Request.QueryString(Fy_Get),"'","''")&"')")

        killSqlconn.close

        Set killSqlconn = Nothing

        End If

        Response.Write "<Script Language=JavaScript>alert('系统禁止你提交数据，如有疑问请您联系管理员！Joyber QQ:');</Script>"

        Response.End

        End If

        Next

        Next

       End If

       If Kill_IP=True Then

        Dim Sqlin_IP,rsKill_IP,Kill_IPsql

        Sqlin_IP=Request.ServerVariables("REMOTE_ADDR")

        Kill_IPsql="select Sqlin_IP from SqlIn where Sqlin_IP='"&Sqlin_IP&"'"

        Set rsKill_IP=killSqlconn.execute(Kill_IPsql)

        If Not(rsKill_IP.eof or rsKill_IP.bof) Then

        if rsKill_IP("Kill_ip")=true then

        Response.write "<Script Language=JavaScript>alert('朋友：\n由于您的IP被记录有不良操作，系统拒绝您此次登陆！\n如有疑问请联系管理员！Joyber QQ:');</Script>"

        Response.End

        end if

        End If

        rsKill_IP.close

       End If

       %>

       哈哈

        通常是在CONN。ASP 中 加入

       《！--INCLODE FILE=。。--》

       这个``