"x-forwarded-for" header 中的 PHP-Blind SQL 注入(inject)

Question

今天我用 acunetix 检查了我的脚本，并在我的一个文件中发现了“SQL 盲注”。

Accunetix 消息:

Attack details

HTTP Header input x-forwarded-for was set to 1' and sleep(2)='

How to fix this vulnerability:

Your script should filter metacharacters from user input.Check detailed information for more information about fixing this vulnerability.

我已经使用 mysql_real_escape_string() 函数转义了所有输入，但错误仍然存​​在。

我尝试使用以下代码在我的文件中过滤此 header :

if(isset($_SERVER['HTTP_X_FORWARDED_FOR']))
    mysql_real_escape_string(addslashes(($_SERVER['HTTP_X_FORWARDED_FOR'])));

但是不起作用。请帮忙!

Answer 1

最好使用 PDO 准备语句来防止 SQL 注入(inject)，而不是尝试创建自己的“脚本”并且仅转义字符不足以防止 SQL 注入(inject)

在这里查看 PDO 准备语句:http://php.net/manual/en/pdo.prepared-statements.php