Pikachu plataforma de pruebas basado en SQL vulnerabilidades de inyección precauciones

nivel de código

1. El filtro de entrada y escapar de la estricta
2. preprocesamiento y la parametrizada

El nivel de red

1. estrategias de inyección (o sistema de protección similar) dispositivos habilitados para WAF por anti-SQL
2. Cloud Protection (360 Sitios guardias, Ali nube de escudo, etc.)

Práctica Recomendada: preparar un pretratamiento usando PDO (pretratamiento + parametrización)

DOP: OBJETO DE DATOS PHP es una interfaz unificada para acceder a varias bases de datos
parámetros de front-end pasado por alto, cuando se va a realizar operaciones de base de datos, la DOP en su interior para SQL escritura, no va directamente al parámetro pasado , pero con la forma de marcador de posición parametrizado para escribir el parámetro
$ = new nueva DOP la DOP ( 'MySQL: host = localhost; dbname = hormiga', 'la raíz', 'la raíz');
$ = SQL "SELECT * FROM ? de administración donde nombre de usuario y la contraseña = = ";?
que hablan a la interacción de base de datos, que será reemplazado por un marcador de posición para el contenido del parámetro por el pretratamiento de este párrafo tal declaración SQL, el controlador de base de datos para hablar con el parto, pre procesar, primera ejecución sql de esta lógica con compiló
$stmt =$ PDO-> prepare ($ sql); // no pasa el primer parámetro, el primer preproceso
y luego pasar en este parámetro de tiempo a continuación,
$stmt-> execute (array ($ nombre de usuario, contraseña $));
// establecer el índice de modo que pase al interior de los parámetros, en lugar de la costura, la prevención con éxito de inyección

Topo: el despliegue de dispositivo WAF antes de que el servidor de aplicaciones Web
iniciar Cloud Protection
atacantes DNS resolución de los proveedores de IP en la nube, cuando el flujo a través de las nubes enviadas al servidor real hacia arriba, el grupo de protección de nube, nube WAF, limpieza DDoS, SDN acelerar función