作者justinC (无)
看板PHP
标题Re: [请益] php 发生 隐码问题
时间Fri Apr 14 22:46:16 2006
※ 引述《justinC (无)》之铭言：
: ※ 引述《ckmarkhsu (深蓝站长)》之铭言：
: : php 也有此风险
: : 例如 SELECT userid FROM user WHERE username = $usernmae
: : 如果传近来的值是 '' OR 1=1
: : 那就会出错啦:P
: 推 JoeHorn:就算 username = '$usernmae' 也是可能有问题. 04/06 13:50
: → JoeHorn:如果丢 $username 被丢 ' OR 1 OR username=' 进去.. 04/06 13:51
: 如果 username='$username'
: 丢' OR 1 OR username=' 进去
: 会变username=' \' OR 1 OR username=\' '
: 这样'被slash掉了 还会有问题？ 我试不出来...
原来PHP 原本设定就用 \ 来slash 掉特殊字
这样还会有漏洞？
＃ magic_quotes_sybase
用'来取代\作为跳脱字元，预设值也是关闭
那这个选项一般也是off
开on 用'来取代 \ 有比较好？
谢谢～！
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 61.221.120.127