SQL注入-通过URL访问

Question

我有一个PHP函数来检查我所有的php文件，所以所有的攻击都不能上传任何脚本。尽管我的客户端站点太老了，几天前，我从服务器上收到一条消息，上面写着: MYSQL注入和查询正在尝试使用。

该系统有一个PHP：5.2.17，并且有一些被废弃的mysql_queries .虽然系统的更新太难了

我试图找到一个解决方案，并检查一下这些方法：

1. mysql_real_escape_string()
2. is_numeric()
3. htmlspecialchars(value，ENT_QUOTES)

我不知道这些算不算！为了避免SQL注入，上述任何一种方法都有效吗？

此外，我发现这是一个很好的解决方案：

用途: filter_input(..)PHP的

攻击是以$_GET值进行的，但没有触及数据库。现在..。我看到的查询有点像标识符。

如有任何建议或帮助，将不胜感激！

Answer 1

mysql_escape__real_string()只是防止SQL注入本身所需的一种方法。htmlspecialchars()是为了防止XSS攻击。

我想您不能使用任何更新的库或升级PHP。在这种情况下，id建议您使用mysql_query实现“安全”http://php.net/manual/en/function.override-function.php，因为它很容易忘记逃避查询。