SQL注入是否可以通过类似复选框的输入来执行？

可以通过旧的Mysql API中的复选框等输入执行SQL注入，以及如何执行？也许这是一个愚蠢的问题，但我不知道是否有可能。SQL注入是否可以通过类似复选框的输入来执行？

2016-04-24 Saul Tigh

防止SQL注入的基本规则是：Trust * nothing *由用户提供，并将您放入数据库的所有内容全部转义。尽可能使用准备好的语句，它们是最可靠的防御。 – tadman

谈到网络安全时，唯一愚蠢的问题就是从未问过的问题。 –

@JonathanEustace这意味着每一个有问题的问题都是一个愚蠢的问题。有点不合逻辑。 –

100％肯定的。这一切都归结于你的服务器端实现。当您将数据发送到服务器时，您应该执行输入验证。在复选框的情况下，它是一个布尔值。您应该只接受值如true或false,0或1,checked等等。如果发送到服务器的数据的值与期望值不相符，则应该抛弃它，或者更好的是IP发送它应该被记录下来，因为这很可能是试图破解你的服务器。

使用fiddler，CURL或浏览器（以及浏览器的devconsole）等工具，您可以轻松地将任何值传递到表示该复选框的字段，因此输入验证是服务器端的关键。

来源

2016-04-24 21:21:39

人们经常会忘记，Chrome需要花费两秒钟的时间来编辑复选框的值并提交表单。 – tadman

是。复选框的值属性可以在Web Inspector中编辑，或者有人可以通过代码提交到URL。它只是发送文本。

来源

2016-04-24 21:23:01

SQL注入是否可以通过类似复选框的输入来执行？

回答

相关问题