织梦DedeCMS防范投票模块SQL注入垃圾信息

由于织梦（DedeCMS）是开源程序漏洞也是比较多的，但是由于漏洞问题，可以说使用这款程序建站的站长朋友们无时不在担忧被挂马，攻击，挂黑链等。小编以前也写了一些关于织梦被入侵的一些防范文章总结。因为只要是被挂马了不只是挂在一个文件中，模板，后台等都会被挂，又遇到了一种挂马的方法，那就是通过SQL注入。
那么是如何注入的呢？留心的站长们会发现在首页文章的最下面一般会有一个对文章进行投票的模块图标，当打开投票模块代码的时候发现投票模块代码没有对用户提交过来的SQL参数进行转义。这就导致了入侵者有机可乘了。作为一个程序员而言在开发的时候都会使用addslashes()函数对用户提交过来的数据进行转义操作，那么在这个模块代码中该如何进行转义呢？下面小编就来详细的讲解下方法吧。

首先根据路径找到/include/dedevote.class.php文件，使用一款编辑软件打开。

查找以下代码：

$this->dsql->ExecuteNoneQuery(“UPDATE`dede58_vote`SET totalcount='”.($this->VoteInfos[‘totalcount’]+1).”‘,votenote='”.addslashes($items).”‘ WHERE aid='”.$this->VoteID.”‘”); 替换为： $this->dsql->ExecuteNoneQuery(“UPDATE`dede58_vote`SET totalcount='”.($this->VoteInfos[‘totalcount’]+1).”‘,votenote='”.mysql_real_escape_string($items).”‘ WHERE aid='”.mysql_real_escape_string($this->VoteID).”‘”); 其实也就是addslashes()改为mysql_real_escape_string()对模块投票提交过来的数据进行转义后再向数据库提交，这样转义之后就会把例如逗号，双引号全部转义成单斜杠了。这样就可以有效的防范投票的时候被SQL注入的风险了。 sql 注入 漏洞 数据库 文件 程序员 include php mysql 写下你的评论吧 ! 吐个槽吧,看都看了 会员登录 | 用户注册 推荐阅读 get Hibernate基础映射 在说Hibernate映射前，我们先来了解下对象关系映射ORM。ORM的实现思想就是将关系数据库中表的数据映射成对象，以对象的形式展现。这样开发人员就可以把对数据库的操作转化为对 ... [详细] 蜡笔小新   2023-12-14 10:57:47 default Android 新闻App的本地服务器搭建教程 本文介绍了在开发Android新闻App时，搭建本地服务器的步骤。通过使用XAMPP软件，可以一键式搭建起开发环境，包括Apache、MySQL、PHP、PERL。在本地服务器上新建数据库和表，并设置相应的属性。最后，给出了创建new表的SQL语句。这个教程适合初学者参考。 ... [详细] 蜡笔小新   2023-12-14 17:15:19 php HDU 2372 El Dorado（DP）的最长上升子序列长度求解方法 本文介绍了解决HDU 2372 El Dorado问题的一种动态规划方法，通过循环k的方式求解最长上升子序列的长度。具体实现过程包括初始化dp数组、读取数列、计算最长上升子序列长度等步骤。 ... [详细] 蜡笔小新   2023-12-14 15:08:18 php 如何限制php数据库链接数和连接超时时间？ 本文介绍了如何使用php限制数据库插入的条数并显示每次插入数据库之间的数据数目，以及避免重复提交的方法。同时还介绍了如何限制某一个数据库用户的并发连接数，以及设置数据库的连接数和连接超时时间的方法。最后提供了一些关于浏览器在线用户数和数据库连接数量比例的参考值。 ... [详细] 蜡笔小新   2023-12-14 14:06:10 php postman测试登录后的接口_使用postman进行接口测试的方法(测试用户管理模块) 本文介绍了使用postman进行接口测试的方法，以测试用户管理模块为例。首先需要下载并安装postman，然后创建基本的请求并填写用户名密码进行登录测试。接下来可以进行用户查询和新增的测试。在新增时，可以进行异常测试，包括用户名超长和输入特殊字符的情况。通过测试发现后台没有对参数长度和特殊字符进行检查和过滤。 ... [详细] 蜡笔小新   2023-12-14 10:29:45 php PHP中的MySQL函数库及其常用函数介绍 本文由编程笔记小编整理，介绍了PHP中的MySQL函数库及其常用函数，包括mysql_connect、mysql_error、mysql_select_db、mysql_query、mysql_affected_row、mysql_close等。希望对读者有一定的参考价值。 ... [详细] 蜡笔小新   2023-12-14 08:19:53 php Oracle中tnsnames.ora的作用和配置方法 本文介绍了Oracle数据库中tnsnames.ora文件的作用和配置方法。tnsnames.ora文件在数据库启动过程中会被读取，用于解析LOCAL_LISTENER，并且与侦听无关。文章还提供了配置LOCAL_LISTENER和1522端口的示例，并展示了listener.ora文件的内容。 ... [详细] 蜡笔小新   2023-12-14 07:44:06 version Spring特性实现接口多类的动态调用详解 本文详细介绍了如何使用Spring特性实现接口多类的动态调用。通过对Spring IoC容器的基础类BeanFactory和ApplicationContext的介绍，以及getBeansOfType方法的应用，解决了在实际工作中遇到的接口及多个实现类的问题。同时，文章还提到了SPI使用的不便之处，并介绍了借助ApplicationContext实现需求的方法。阅读本文，你将了解到Spring特性的实现原理和实际应用方式。 ... [详细] 蜡笔小新   2023-12-14 03:24:19 char 动态规划算法的基本步骤及最长递增子序列问题详解 本文详细介绍了动态规划算法的基本步骤，包括划分阶段、选择状态、决策和状态转移方程，并以最长递增子序列问题为例进行了详细解析。动态规划算法的有效性依赖于问题本身所具有的最优子结构性质和子问题重叠性质。通过将子问题的解保存在一个表中，在以后尽可能多地利用这些子问题的解，从而提高算法的效率。 ... [详细] 蜡笔小新   2023-12-13 15:38:19 php 如何在php中将mysql查询结果赋值给变量 本文介绍了在php中将mysql查询结果赋值给变量的方法，包括从mysql表中查询count(学号)并赋值给一个变量，以及如何将sql中查询单条结果赋值给php页面的一个变量。同时还讨论了php调用mysql查询结果到变量的方法，并提供了示例代码。 ... [详细] 蜡笔小新   2023-12-12 18:22:57 import Python SQLAlchemy库的使用方法详解 本文详细介绍了Python中使用SQLAlchemy库的方法。首先对SQLAlchemy进行了简介，包括其定义、适用的数据库类型等。然后讨论了SQLAlchemy提供的两种主要使用模式，即SQL表达式语言和ORM。针对不同的需求，给出了选择哪种模式的建议。最后，介绍了连接数据库的方法，包括创建SQLAlchemy引擎和执行SQL语句的接口。 ... [详细] 蜡笔小新   2023-12-12 15:23:06 php 延迟注入工具（python）的SQL脚本 本文介绍了一个延迟注入工具（python）的SQL脚本，包括使用urllib2、time、socket、threading、requests等模块实现延迟注入的方法。该工具可以通过构造特定的URL来进行注入测试，并通过延迟时间来判断注入是否成功。 ... [详细] 蜡笔小新   2023-12-12 10:36:42 php 介绍一个免费的具备数据显示/录入/更新/删除功能的asp.net控件 本文介绍了一个免费的asp.net控件，该控件具备数据显示、录入、更新、删除等功能。它比datagrid更易用、更实用，同时具备多种功能，例如属性设置、数据排序、字段类型格式化显示、密码字段支持、图像字段上传和生成缩略图等。此外，它还提供了数据验证、日期选择器、数字选择器等功能，以及防止注入攻击、非本页提交和自动分页技术等安全性和性能优化功能。最后，该控件还支持字段值合计和数据导出功能。总之，该控件功能强大且免费，适用于asp.net开发。 ... [详细] 蜡笔小新   2023-12-11 09:41:26 php 揭秘阿里云WAF背后神秘的AI智能防御体系 背景应用安全领域，各类攻击长久以来都危害着互联网上的应用，在web应用安全风险中，各类注入、跨站等攻击仍然占据着较前的位置。WAF(Web应用防火墙)正是为防御和阻断这类攻击而存在 ... [详细] 蜡笔小新   2023-12-11 01:30:52 get SQL日志收缩及截断方法详解 本文详细介绍了SQL日志收缩的方法，包括截断日志和删除不需要的旧日志记录。通过备份日志和使用DBCC SHRINKFILE命令可以实现日志的收缩。同时，还介绍了截断日志的原理和注意事项，包括不能截断事务日志的活动部分和MinLSN的确定方法。通过本文的方法，可以有效减小逻辑日志的大小，提高数据库的性能。 ... [详细] 蜡笔小新   2023-12-14 18:23:25 陌-天佑_807 这个家伙很懒，什么也没留下！ Tags | 热门标签 chat cpython copy tags require controller httprequest cSharp nodejs hashset bit frameworks select import javascript php5 runtime php ascii input get yaml char version stream vbscript install window default golang RankList | 热门文章 1防火墙Mangle标记案例从零开始学RouterOS系列10 2功能_iOS14悄悄更新，这功能终于来了 3活动｜CS·11新一代信息资产安全管理解决方案大会报名开启 4膨胀节的分类？ 5nginx报403 6【推荐】玩Android 7mysql查询单一分行客户情况_数据库单业务场景的客户需求 8Merry Christmas！看甜点海报如何庆祝圣诞 9这种配置的电脑能开直播吗？ 10i5和i7哪个适合计算机网络,i5和i7的区别 11诸葛亮草船借箭，为何曹操白白浪费十万支，都没想到用一支火箭？:热火r150设置 12四大开源分布式存储_大数据存储培训：大数据存储技术解析 1302 性能测试规划 14【网约车】 网约车管理解决方案 15第七章　与卿决裂 PHP1.CN | 中国最专业的PHP中文社区 | DevBox开发工具箱 | json解析格式化 |PHP资讯 | PHP教程 | 数据库技术 | 服务器技术 | 前端开发技术 | PHP框架 | 开发工具 | 在线工具 Copyright © 1998 - 2020 PHP1.CN. All Rights Reserved | 京公网安备 11010802041100号 | 京ICP备19059560号-4 | PHP1.CN 第一PHP社区 版权所有