php - 如何在运行之前检测异常查询(注入(inject)可疑)？

Question

一些黑客可以访问我的数据库，我将找出漏洞；我无权访问服务器日志。我制作了这段代码来保存文本文件中的可疑查询:

function query($query) {
$file = 'sqllog.txt';
if(/* Which condition should i use to detect? */){
$contents = file_get_contents($file);
$contents.="\r\n";
$contents.=$query;
file_put_contents($file,$contents);
}
$this->theQuery = $query;
return mysql_query($query, $this->link);
}

我应该使用什么条件来检测 sql 注入(inject)可疑查询？

Answer 1

您应该在您的代码库中查找未净化的输入(即未使用 mysql_real_escape_string)。理想情况下，在将参数插入查询之前立即调用此函数。

或者，考虑切换到使用 PDO 的预处理语句，SQL 注入(inject)将不再是问题。