PHP magic_quotes_gpc漏洞

Question

我已经被分配到我公司的一个遗留one应用程序中，经过一两天的搜索，我找到了一个类似于以下内容的SQL注入向量：

mysql_query("SELECT * FROM foo WHERE bar='" . $_GET['baz'] . "'");

我试图对此执行SQL注入测试，但由于magic_quotes_gpc模块被打开，它失败了。

我知道magic_quotes_gpc很脏，但我们有数百行(如果不是数千行)类似于上面的代码。我们根本负担不起关闭magic_quotes_gpc的费用，因为这会使代码如此容易受到攻击。

我想知道上面的代码是如何被“利用”的，我们是应该立即修复它，还是将修复它的任务与我们的其他重构任务结合起来。

Answer 1

只要有神奇的引号，而且你不使用一些特殊的字符编码，可以通过它，你应该是好的--可以这么说。问题是，无论出于什么原因，魔术引号不活动(服务器更改、配置更改)时，您将有许多漏洞需要修复。

Answer 2

我将在开头添加一行，以确保启用了magic_quotes，如果它们在服务器配置中被禁用的话。那你就会或多或少的安全了。