CI(CodeIgniter)框架中URL特殊字符处理与SQL注入隐患分析

 更新时间:2019年02月28日 10:59:26   作者:流风,飘然的风  
这篇文章主要介绍了CI(CodeIgniter)框架中URL特殊字符处理与SQL注入隐患,结合实例形式分析了CodeIgniter框架中针对特殊字符的过滤及SQL注入隐患的相关原理,需要的朋友可以参考下

本文实例分析了CI(CodeIgniter)框架中URL特殊字符处理与SQL注入隐患。分享给大家供大家参考,具体如下:

php CI框架中URL特殊字符有很多是不支持的,导致像c++,括号这些常用的分类,字符都无法正常显示很头痛,而在配置里增加单引号' 反斜杠\ 这种特殊字符又很容易给sql注入

在默认的config配置基础上加上:+=()特殊字符

#$config['permitted_uri_chars'] = 'a-z 0-9~%.:_\-';
$config['permitted_uri_chars'] ='a-z 0-9~%.:_\-\+=()';

在CI框架中,尽量使用AR类进行数据库查询是比较靠谱的,因为在底层会帮助使用者进行一次有效的转义,但也仅仅是转义而已。

过滤的方法是escape_str()

function escape_str($str, $like = FALSE)
{
  var_dump($str);
  echo "\n" ;
  if (is_array($str))
  {
    foreach ($str as $key => $val)
    {
      $str[$key] = escape_str($val, $like);
    }
    return $str;
  }
  if (function_exists('mysql_real_escape_string'))
  {
    $str = addslashes($str);
  }
  elseif (function_exists('mysql_escape_string'))
  {
    $str = mysql_escape_string($str);
  }
  else
  {
    $str = addslashes($str);
  }
  // escape LIKE condition wildcards
  if ($like === TRUE)
  {
    $str = str_replace(array('%', '_'), array('\\%', '\\_'), $str);
  }
  return $str;
}

该方法仅仅是调用了一些转义函数,并对like参数进行过滤。

如果查询的变量没有被单引号包裹,那么就无法进行保护

ci 框架默认的过滤函数是escape :

xx". $this->db->escape ( $xxx )."xx

由于数组的$key过滤不严直接带入SQL查询的漏洞屡见不鲜:

$arr = array(
  'name'=>"2' and 1=2",
  "hello'"=>"2");
);

输出结果:

Array(
    [name] => 2\' and 1=2
    [hello' union select ] => 2
)

如果真实sql语句传入上面两个参数合并起来就可以查询出所有信息了,属于sql注入了

更多关于CodeIgniter相关内容感兴趣的读者可查看本站专题:《codeigniter入门教程》、《CI(CodeIgniter)框架进阶教程》、《php优秀开发框架总结》、《ThinkPHP入门教程》、《ThinkPHP常用方法总结》、《Zend FrameWork框架入门教程》、《php面向对象程序设计入门教程》、《php+mysql数据库操作入门教程》及《php常见数据库操作技巧汇总

希望本文所述对大家基于CodeIgniter框架的PHP程序设计有所帮助。

相关文章

  • 解决PHP使用CURL发送GET请求时传递参数的问题

    解决PHP使用CURL发送GET请求时传递参数的问题

    今天小编就为大家分享一篇解决PHP使用CURL发送GET请求时传递参数的问题,具有很好的参考价值,希望对大家有所帮助。一起跟随小编过来看看吧
    2019-10-10
  • PHP书写格式详解(必看)

    PHP书写格式详解(必看)

    下面小编就为大家带来一篇PHP书写格式详解(必看)。小编觉得挺不错的,现在分享给大家,也给大家做个参考。一起跟随小编过来看看吧
    2016-05-05
  • Thinkphp 框架扩展之行为扩展原理与实现方法分析

    Thinkphp 框架扩展之行为扩展原理与实现方法分析

    这篇文章主要介绍了Thinkphp 框架扩展之行为扩展,结合实例形式分析了Thinkphp 框架行为扩展相关原理、实现方法及操作注意事项,需要的朋友可以参考下
    2020-04-04
  • php 计算两个时间相差的天数、小时数、分钟数、秒数详解及实例代码

    php 计算两个时间相差的天数、小时数、分钟数、秒数详解及实例代码

    这篇文章主要介绍了php 计算两个时间相差的天数、小时数、分钟数、秒数详解及实例代码的相关资料,需要的朋友可以参考下
    2016-11-11
  • php微信公众号开发之音乐信息

    php微信公众号开发之音乐信息

    这篇文章主要为大家详细介绍了php微信公众号开发之音乐信息,具有一定的参考价值,感兴趣的小伙伴们可以参考一下
    2018-10-10
  • laravel安装zend opcache加速器教程

    laravel安装zend opcache加速器教程

    这篇文章主要介绍了laravel安装end opcache加速器教程,需要的朋友可以参考下
    2015-03-03
  • Laravel如何友好的修改.env配置文件详解

    Laravel如何友好的修改.env配置文件详解

    使用laravel框架开发PHP程序,配置框架的.env文件是至关重要的,这个文件上需要配置数据库、数据库用户以及缓存等。下面这篇文章主要给大家介绍了Laravel如何友好的修改.env配置文件的相关资料,需要的朋友可以参考下。
    2017-06-06
  • 如何重写Laravel异常处理类详解

    如何重写Laravel异常处理类详解

    这篇文章主要给大家介绍了关于如何重写Laravel异常处理类的相关资料,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友们下面随着小编来一起学习学习吧
    2020-12-12
  • 使用php-timeit估计php函数的执行时间

    使用php-timeit估计php函数的执行时间

    当我们在使用php性能优化的时候,需要知道某个函数的执行时间,在python中,我们有timeit模块给我们实现,在php有没有类似的模块?接下来,小编给大家分享我写的一个简单timeit函数,需要的朋友可以参考下
    2015-09-09
  • 微信支付开发告警通知实例

    微信支付开发告警通知实例

    本篇文章主要介绍微信支付中如何获得告警通知,并附有实例代码以便参考,希望能帮助开发微信支付的小伙伴
    2016-07-07

最新评论