plataforma de teste Pikachu baseado em SQL vulnerabilidades de injeção precauções

nível de código

1. O filtro de entrada e escapar do estrito
2. pré-processamento e o parametrizada

O nível de rede

estratégias 1. injeção (ou sistema de proteção similar) dispositivos WAF habilitados por anti-SQL
2. Cloud Protection (360 locais guardas, escudo Ali nuvem, etc.)

Prática recomendada: preparar um pré-tratamento com DOP (pré-tratamento + parametrização)

DOP: PHP Data Object é uma interface unificada para acessar vários bancos de dados
parâmetros front-end passaram por cima, quando você vai para executar operações de banco de dados, o DOP dentro dele para escrever sql, não vá diretamente para o parâmetro passado , mas com a forma como espaço reservado parametrizado para escrever o parâmetro
$ = new new PDO o DOP ( 'MySQL: host = localhost; dbname = Ant', 'raiz', 'raiz');
$ = SQL "SELECT * from ? administrador onde username = ea senha = ";?
ele falar com a interação de banco de dados, ele será substituído por um espaço reservado para o conteúdo do parâmetro pelo pré-tratamento deste parágrafo tal declaração sql, o motorista banco de dados para falar com a entrega, pre processamento, primeira execução sql desta lógica com compilado
$stmt =$ PDO-> prepare ($ SQL); // não passar o primeiro parâmetro, o primeiro pré-processamento
e, em seguida, passar neste parâmetro de tempo, em seguida,
$stmt-> executar (matriz ($ nome de utilizador, palavra-passe $));
// definir o índice de modo a passar para os parâmetros, em vez da costura, prevenir com sucesso injecção

Topo: implantação de dispositivo WAF antes de o servidor de aplicativos web
começar Cloud Protection
atacantes dns resolução para os fornecedores IP nuvem, quando o fluxo através das nuvens encaminhadas ao real servidor up, o cluster proteção nuvem, nuvem WAF, limpeza de DDOS, SDN acelerar função