POST와 GET을 살균하는 이유

Question

나는 질문이있다. 나는 당신이 POST와 sanitize를해야만 사람들이 당신의 웹 사이트/DB에 불쾌한 일을하는 것을 막을 수 있지만, 나는 혼란 스럽다. 나는 웹 사이트에서 다음과 같은 것을 보았고 나는 그 질문을 할 것이라고 생각했다.

씨 해커는 드롭 테이블이 학생이라는 것을?,이 상황에서 그것은 아마 운동을 많이받지 않을 것 학교 것으로 알고 있지만, 내가 생각 할 방법이 이런 종류의 코드 PHP 파일에서 실행될 때보기에서 숨겨진 것이 었습니다. 그래서 내 테이블의 이름을 불분명하게 만들면 어떻게 공격이 테이블 이름을 삭제했는지 알 수 있습니까?

Answer 1

네, 숨겨진, 그러나이 같은 취약점이있는 경우 SHOW TABLES 및 SHOW COLUMNS ..

Answer 2

엄지 손가락의 규칙은 죄송 것보다 안전한 것이 항상 더 나은 것입니다 포함 원하는 쿼리를 실행할 수 있습니다! 이미 언급했듯이 공격자는 데이터 내용을 출력하거나 그림별로 삭제할 수 있습니다. PHP 코드는 숨겨져 있지만 일부 오류 출력이나 PHP 모듈이 어떤 이유로 든 언로드 된 경우와 같이 소스 코드가 표시 될 수있는 경우가 있습니다.

Answer 3

아마도이 질문에 답하지 않겠지 만, 모든 사람들은 테이블 놓기, 데이터베이스 파괴 및 기타 재앙을 피하기 위해 사용자 입력을 "소독"하는 것에 대해서만 말합니다.

내가 듣지 못한 것은 살균이 당신의 질문을 보호한다는 사실입니다. 해커가 아니라 악마가 아니라 가벼운 사람, 즉 이름이 O'Reilly 인 사람이나 따옴표가 들어있는 사용자가 제공 한 다른 데이터를위한 것입니다.

그 인용문은 귀하의 질의를 완전히 중단시킬 수 있습니다. 그리고 멋진 디자인의 webapp을 중단하십시오. 악의적 인 것도 아닙니다.

따라서 BREAKING을 피하려면 쿼리를 살균하십시오. 이렇게하는 동안, 당신은 또한 계열 인 MALICIOUS BREAKING을 방지 할 것입니다.. 쿼리는 따옴표로 구분 된 STRINGS이며 보간 된 따옴표는 간단히 문자열을 끝내지 않고 데이터베이스 호출 오류를 종료합니다.