第六天：MySQL防注入研究
MySQL头注入（http）
Access偏移注入
CSRF攻击
MySQL防注入 过滤
1️⃣php.ini设置
magic_quotes_gpc魔术引号：开启将过滤四种字符，关闭即不过滤
单引号，双引号，反斜杠，空字符进行转义
2️⃣函数过滤
Addslashes（） 效果等同
绕过思路：
编码绕过，宽字节注入
php内置全局函数变量：$_SERVER
access偏移注入
解决：access注入中猜解密码遇到列名获取不到的情况
Csrf 跨站点请求伪造
支付宝网站：www.alipay.com
攻击者：小迪
向小迪付款1000元数据包:
www.alipay.com/pay.php?name=小迪&account=xxxx@qq.com&money=1000 等
攻击者在自己博客首页源码中添加js代码：
<script src=”http:// www.alipay.com/pay.php?name=&account=xxxx@qq.com&money=1000”></script>
受害者访问我的个人博客，加载js代码，js代码将会执行（自动加载地址）
浏览器已经登录支付宝的话，极有可能导致付款！
防护机制：同源策略（检测来源地址，判断当前来源是否同域）
$_SERVER[’HTTP_REFERER’]：获取来源地址
image.png
x-forwarded-for 伪造绕过ip限制
网友评论