php 的注入漏洞 0xbf27

[bf68]

大家是怎么过滤这些危险的

[bf68]

大神们

[raincious]

如果你遇到了这样的问题，只能说……是根本没做对。

1、改用MySQLli或者PDO；
2、设置正确的字符集；
3、再不济，你也有mysql_real_escape_string()（仍然要确保字符集正确）；
4、任何尝试检查输入字符是否包含0xbf或0x27然后进行替换的行为都是……有病的。

[nilai]

宽字符注入。

[bf68]

有解决方案不大神们

[invite]

变量绑定可以不?

[bf68]

@invite 你是怎么处理的，大神

[lygmqkl]

php 上框架 bindValue 压根就不用考虑这个。。。。虽然有点偷懒，但是可以统一团队开发人员的效率。

[lincanbin]

强烈建议使用PDO

[bf68]

@lincanbin 可以具体点吗？都是刚刚接触php，谢谢

[domino]

1.用mysql_set_charset函数设置连接所使用的字符集为gbk
再调用mysql_real_escape_string来过滤用户输入。

2.将character_set_client设置为binary（二进制）。
只需在所有sql语句前指定一下连接的形式是二进制：
mysql_query("character_set_client=binary", $conn);

[elvba]

二楼正解，使用PDO以及设置正确的字符集，做好输入过滤。