Nginx 防SQL注入

访客5年前 (2019-11-03)黑客文章818

SQL注入原理，在URI页面加参数查询数据库，假如程序没有严厉过滤字符串，就有或许导致SQL注入

咱们能够在前端Nginx过滤URI来避免SQL注入。装备如下

什么是URL和URI,举例说明:

衔接 http://www.abc.com/upload.php

URI: ?at=8

URL一般指?号前面的URL地址，URI指?号后边的参数

注: discuz需将show和update关键字撤销，不然无法登录，或获取验证码。

在 server {} 里参加以下内容:

if ($request_uri ~* (.*)(union%20| select%20|insert%20|delete%20|update%20|drop%20|show%20|truncate%20|alter%20|execute|'|;|%5c%2e)(.*)$) {

return 403;

}

curl 模仿拜访

# curl "http://www.test.com/index.php?select * from db.user"

<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN" >

<html>

< head ><title>403 Forbidden< /title >< /head >

<h1>403 Forbidden< /h1 >

<p>You don't have permission to access the URL on this server.</body >

< /html >

回来HTTP CODE 403

标签: 黑客接单网诚信找黑客平台

返回列表

上一篇：服务器遇到大流量进犯的处理进程

下一篇：日本文化史（日本文化史家永三郎）

操控流程完整性：给我们介绍一种“特殊”的Javascript反剖析技能

写在前面的话了解歹意软件的实在代码对歹意软件剖析人员来说对错常有优势的，由于这样才干够实在了解歹意软件所要做的工作。但不幸的是，咱们并不总是能够得到“实在”的代码，有时歹意软件剖析人员或许需求相似...

新手攻略：DVWA-1.9全等级教程之SQL Injection

现在，最新的DVWA现已更新到1.9版别（http://www.dvwa.co.uk/），而网上的教程大多停留在旧版别，且没有针对DVWA high等级的教程，因而萌发了一个编撰新手教程的主意，过错的...

看我怎么发现GitHub提权缝隙取得$10000赏金

之前，我从没参加过GitHub官方的一些缝隙众测项目，在HackerOne建议的HackTheWorld竞赛中，主办方宣扬除了赏金以外，还有时机取得Github供给的终身无约束私有库（unlimit...

我是怎么绕过Uber的CSP防护成功XSS的？

咱们好！在开端正式的内容之前，请答应我做个简略的毛遂自荐。首要，我要阐明的是我不是什么安全研究人员/安全工程师，切当的来说我是一名安全的爱好者，这始于两年前的Uber。我喜爱触摸新的事物，而且每天都在...

根据Golang打造开源的WAF网关

布景在互联网职业，Google将安全做到基础设施里边，从来是各大公司学习的典范，在Web方面，经过GFE (Google Front-End) 一致对外发布，事务只需求在GFE挂号，GFE就会调取正...

Firefox与Edge的dom策略导致的csp bypass问题-黑客接单平台

在2019年对csp研讨过一阵，发现能够经过其他的dom向存在CSP的dom注入javascript协议，来到达绕过CSP的安全防护。众所周知，CSP（内容安全战略）有两种方法来设置，一种是经过浏览...

找黑客平台