360鹰眼-更智能的Web安全监控系统

产品描述:

下一代web漏洞扫描器,她是一款硬件,包含:最全面的"爬出"引擎,不再需要收集资产清单,不再需要指定扫描时间,同步发现新上线业务漏洞

适用对象:

企业

价格服务:

目录价19.8万起
我了解,我要试用
高危高危

TGroupon分销系统delete_cart_goods.php处存在SQL注入漏洞

WASC Threat Classification

发现时间:

2016-05-27

漏洞类型:

SQL注入

所属建站程序:

其他

所属服务器类型:

通用

所属编程语言:

PHP

描述:

目标存在SQL注入漏洞。

1.SQL注入攻击就是攻击者通过欺骗数据库服务器执行非授权的任意查询过程。


http://www.tgroupon.cn/

+ 展开
危害:

被SQL注入后可能导致以下后果:

1.网页被篡改

2.数据被篡改

+ 展开
解决方案:

1、联系厂商升级 http://www.tgroupon.cn/

2、接入360网站卫士(http://wangzhan.360.cn/)等云WAF

3、安装服务器防护软件

4、对参数进行过滤:

5.3过滤用户输入

将任何数据传给 SQL 查询之前,应始终先使用筛选技术来适当过滤。 这无论如何强调都不为过。 过滤用户输入可让许多注入缺陷在到达数据库之前便得到更正。

5.4将用户输入加引号

不论任何数据类型,只要数据库允许,便用单引号括住所有用户数据。

5.5 转义数据值

如果使用 MySQL4.3.0 或更新的版本,您应该用 mysql_real_escape_string() 来转义所有字符串。 如果使用旧版的 MySQL,便应该使用mysql_escape_string() 函数。如果未使用 MySQL,您可以选择使用特定数据库的特定换码功能。如果不知道换码功能,您可以选择使用较一般的换码功能,例如,addslashes()。

如果使用 PEAR DB 数据库抽象层,您可以使用DB::quote() 方法或使用 ? 之类的查询占位符,它会自动转义替换占位符的值。参考资料 http://ca3.php.net/mysql_real_escape_string

http://ca.php.net/mysql_escape_string

http://ca.php.net/addslasheshttp://pear.php.net/package-info.php?package=DB

 

5.6输入数据验证:虽然为方便用户而在客户端层上提供数据验证,但仍必须始终在服务器层上执行数据验证。客户端验证本身就不安全,因为这些验证可轻易绕过,例如,通过禁用 Javascript。一个好的设计通常需要 Web 应用程序框架,以提供服务器端实用程序例程,从而验证以下内容:必需字段,字段数据类型(缺省情况下,所有 HTTP 请求参数都是“字符串”),字段长度,字段范围,字段选项,字段模式, cookie 值,HTTP 响应等,以下部分描述一些检查的示例。

  // PHP example to validaterequired fields

  functionvalidateRequired($input) {

      ...

      $pass = false;

      if(strlen(trim($input))>0){

          $pass = true;

      }

      return $pass;

      ...

  }

  ...

  if(validateRequired($fieldName)) {

      // fieldName is valid,continue processing request

      ...

  }

SQL 注入漏洞演示

如果你的网站服务器是Windows系统,建议使用"主机卫士"修复漏洞,点击下载
对该漏洞进行评论