当前位置：首页 > news >正文

SQL注入漏洞之绕过[前端服务端 waf]限制以及防御手法一篇文章给你搞定

news 来源：原创 2025/5/22 4:33:25

绕过手法

前端代码绕过

后端代码绕过

各种字段进行验证 union

大小写绕过

双写逃过

强制类型判断

引号特殊编码处理。

内联注释绕过

注释符绕过

or/and绕过

空格绕过

防御SQL注入的方法

使用预编译语句

使用存储过程

检查数据类型

绕过手法

前端代码绕过

Js逆向绕过加解密绕过学习加解密加密格式验证
BP 挂载很多插件

后端代码绕过

各种字段进行验证 union

大小写绕过

绕过防御后一样能执行大小写混合绕过
sql语句对一些关键词不区分大小写，如果网站代码没有进行大小写检查可以使用

UniOn select * from user

双写逃过

网站代码找到关键词后删除，可以通过双写构造删除后符合语法的sql语句

selselectect * from user

强制类型判断
引号特殊编码处理。
内联注释绕过

mysql扩展功能，在/*后加惊叹号，注释中的语句会被执行

and /*!select * from user*/

注释符绕过

注释符不影响语句的连接

sel/**/ect * from user

or/and绕过

使用逻辑符号代替：and = &&, or = ||

绕过剔除and和or的SQL注入
1、Mysql中的大小写不敏感，大写与小写一样。
2、Mysql 中的十六进制与URL编码。
3、符号和关键字替换 and – &&、or – ||。
4、内联注释与多行注释 /! 内联注释/ /多行注释/。

select * from emp where sal > 500 && sal < 3000;

空格绕过

有的网站过滤了空格，可以尝试使用

%0a、%b、%0c、%0d、%09、%a0
/**/、()
-----------------------------------------------------------select * from/**/emp where (sal) > 500 && sal < 3000;select * from emp where sal > 500 and sal < 3000;

防御SQL注入的方法

使用预编译语句

绑定变量，攻击者无法改变SQL的结构。
不同的编程语言Java、Php有不同的语法，就不做展示了。
在网络安全-php安全知识点中提到了使用pdo来防御。

使用存储过程

使用安全的存储过程对抗SQL注入，由于存储过程中也可能存在SQL注入问题，应尽量避免使用动态SQL语句。

检查数据类型

例如
需要输入的是整型，那么，可以判断用户的输入，如果包含非整型，例如，字符串"AND"、“BENCHMARK”等，则不运行sql语句。其他类型，例如，邮箱等可以通过使用正则表达式来进行判断。

喜欢本文的请动动小手点个赞，收藏一下，有问题请下方评论，转载请注明出处，并附有原文链接，谢谢！

SQL注入漏洞之绕过[前端服务端 waf]限制以及防御手法一篇文章给你搞定

目录绕过手法前端代码绕过后端代码绕过各种字段进行验证 union 大小写绕过双写逃过强制类型判断引号特殊编码处理。内联注释绕过注释符绕过 or/and绕过空格绕过防御SQL注入的方法使用预编译语句使用存储过程检查数据类型绕过手法前端代码绕过…...

编程日记 2025/5/22 4:33:25

C++ 写一个简单的加减法计算器

************* C topic：结构 ************* Structure is a very intersting issue. I really dont like concepts as it is boring. I would like to cases instead. If I want to learn something, donot hesitate to make shits. Like building a house. Wh…...

编程日记 2025/5/16 17:44:11

Effective C++ 规则50：了解 new 和 delete 的合理替换时机

1、背景在 C 中，new 和 delete 是动态分配内存的核心操作符。然而，直接使用它们有时会增加程序的复杂性，甚至导致内存泄漏和其他问题。因此，了解何时替换 new 和 delete 并选择更适合的内存管理策略，是编写高效、健壮…...

编程日记 2025/5/18 11:21:08

水果实体店品牌数字化：RWA + 智能体落地方案

一、方案背景随着数字化技术的迅猛发展，实体零售行业正面临前所未有的挑战与机遇。传统的零售模式难以满足消费者对个性化、便捷化、智能化的需求，尤其是在水果等生鲜商品领域，如何通过技术手段提升运营效率、增强顾客体验、拓宽盈利模式&a…...

编程日记 2025/5/18 19:30:43

Docker小游戏 | 使用Docker部署FC-web游戏模拟器

Docker小游戏 | 使用Docker部署FC-web游戏模拟器前言一、项目介绍项目简介项目预览二、系统要求环境要求环境检查Docker版本检查检查操作系统版本三、部署FC-web游戏模拟器下载镜像创建容器检查容器状态检查服务端口安全设置四、访问FC-web游戏模拟器试玩游戏FC游戏的操作方法…...

编程日记 2025/5/16 12:14:00

【视频+图文详解】HTML基础3-html常用标签

图文教程 html常用标签常用标签 1. 文档结构 <!DOCTYPE html>：声明HTML文档类型。<html>：定义HTML文档的根元素。<head>：定义文档头部，包含元数据。<title>：设置网页标题，浏览…...

编程日记 2025/5/18 20:48:14

年化19.3%策略集|ctpbee_api替换成openctp整合backtrader实盘方案（代码+数据）

原创内容第782篇，专注量化投资、个人成长与财富自由。昨天我们把backtraderctpbee的实盘整合代码跑通了，年化19.3%，回撤仅8%的实盘策略，以及backtrader整合CTPBee做实盘（附python代码和数据） 这两周我们加…...

编程日记 2025/5/19 5:18:39

谭浩强C语言程序设计(3) 7章

1、递归实现N的阶乘 c复制 #include <cstdio> // 包含标准输入输出库// 计算n的阶乘 int total 0; // 定义全局变量total用于存储阶乘结果// 递归函数计算阶乘 int fac(int a){// 如果输入的数小于0，输出错误信息if (a < 0){printf("%d < 0,err…...

编程日记 2025/5/19 12:05:53

国产SiC碳化硅功率器件技术成为服务器电源升级的核心引擎

在服务器电源应用中，国产650V碳化硅（SiC）MOSFET逐步取代传统超结（Super Junction, SJ）MOSFET，其核心驱动力源于SiC材料在效率、功率密度、可靠性和长期经济性上的显著优势，叠加产业链成熟与政策…...

编程日记 2025/5/21 4:44:19

深入探讨：服务器如何响应前端请求及后端如何查看前端提交的数据

深入探讨：服务器如何响应前端请求及后端如何查看前端提交的数据一、服务器如何响应前端请求前端与后端的交互主要通过 HTTP 协议实现。以下是详细步骤： 1. 前端发起 HTTP 请求 GET 请求：用于从服务器获取数据。POST 请求：用…...

编程日记 2025/5/20 3:40:01

深度学习指标可视化案例

TensorBoard 代码案例：from torch.utils.tensorboard import SummaryWriter import torch import torchvision from torchvision import datasets, transforms# 设置TensorBoard日志路径 writer SummaryWriter(runs/mnist)# 加载数据集 transform transforms.Comp…...

编程日记 2025/5/21 16:53:55

unity学习24：场景scene相关生成，加载，卸载，加载进度，异步加载场景等

目录 1 场景数量 SceneManager.sceneCount 2 直接代码生成新场景 SceneManager.CreateScene 3 场景的加载 3.1 用代码加载场景，仍然build setting里先加入配置 3.2 卸载场景 SceneManager.UnloadSceneAsync(); 3.3 同步加载场景 SceneManager.LoadScene 3.3.…...

编程日记 2025/5/19 0:40:12

网易云音乐歌名可视化：词云生成与GitHub-Pages部署实践

引言本文将基于前一篇爬取的网易云音乐数据, 利用Python的wordcloud、matplotlib等库, 对歌名数据进行深入的词云可视化分析. 我们将探索不同random_state对词云布局的影响, 并详细介绍如何将生成的词云图部署到GitHub Pages, 实现数据可视化的在线展示. 介绍了如何从原始数据…...

编程日记 2025/5/19 19:22:04

Web-3.0（Solidity）基础教程

Solidity 是以太坊智能合约编程语言，用于编写去中心化应用（DApp）。如果你想开发 Web3.0 应用，Solidity 是必学的。 Remix - Ethereum IDE（在线编写 Solidity） 特性Remix IDEHardhat适用场景适合初学者 …...

编程日记 2025/5/19 1:59:02

android获取EditText内容，TextWatcher按条件触发

android获取EditText内容，TextWatcher按条件触发背景：解决方案：效果： 背景： 最近在尝试用原生安卓实现仿element-ui表单校验功能，其中涉及到EditText组件内容的动态校验，初步实现功能后&#…...

编程日记 2025/5/22 2:26:47

题单：冒泡排序1

题目描述给定 n 个元素的数组（下标从 1 开始计），请使用冒泡排序对其进行排序（升序）。请输出每一次冒泡过程后数组的状态。要求：每次从第一个元素开始，将最大的元素冒泡至最后。输入格式…...

编程日记 2025/5/19 3:41:31

我的毕设之路：（2）系统类型的论文写法

一般先进行毕设的设计与实现，再在现成毕设基础上进行描述形成文档，那么论文也就成形了。 1 需求分析：毕业设计根据开题报告和要求进行需求分析和功能确定，区分贴合主题的主要功能和拓展功能能，删除偏离无关紧要的功能…...

编程日记 2025/5/18 17:29:26

JVM_类的加载、链接、初始化、卸载、主动使用、被动使用

①. 说说类加载分几步？ ①. 按照Java虚拟机规范,从class文件到加载到内存中的类,到类卸载出内存为止,它的整个生命周期包括如下7个阶段: 第一过程的加载(loading)也称为装载验证、准备、解析3个部分统称为链接(Linking)在Java中数据类型分为基本数据类型和引用数据…...

编程日记 2025/5/22 4:12:36

数论问题79一一研究成果

(豆包智能搜索一一李扩继) 李扩继是一位在数学研究尤其是哥德巴赫猜想研究领域有一定成果的中学老师，以下是关于他的具体介绍： ①研究经历：2006年承担咸阳市教研室的立项课题《角谷猜想的研究》，虽未完成角谷猜想的证明&#xff…...

编程日记 2025/5/16 17:14:15

【DeepSeek-V3】AI Model Evaluation Framework and index schedule AI模型能力评价指标及对比

编程日记 2025/5/20 21:27:59

《程序人生》工作2年感悟

一些杂七杂八的感悟： 1.把事做好比什么都重要， 先树立量良好的形象，再横向发展。 2.职场就是人情世故，但也不要被人情世故绑架。 3.要常怀感恩的心，要记住帮助过你的人，愿意和你分享的人，有能力…...

编程日记 2025/5/21 10:50:47

Elasticsearch的开发工具（Dev Tools）

目录说明1. **Console**2. **Search Profiler**3. **Grok Debugger**4. **Painless Lab**总结说明 Elasticsearch的开发工具（Dev Tools）在Kibana中提供了多种功能强大的工具，用于调试、优化和测试Elasticsearch查询和脚本。以下是关于Cons…...

编程日记 2025/5/17 14:16:59

22_解析XML配置文件_List列表

解析XML文件需要先 1.【加载XML文件】而【加载XML】文件有两种方式【第一种 —— 使用Unity资源系统加载文件】 TextAsset xml Resources.Load<TextAsset>(filePath); XmlDocument doc new XmlDocument(); doc.LoadXml(xml.text); 【第二种 —— 在C#文件IO…...

编程日记 2025/5/21 1:37:16

智慧园区管理平台实现智能整合提升企业运营模式与管理效率

内容概要在当今数字化的背景下，智慧园区管理平台正逐渐成为企业提升运营效率和管理模式的重要工具。这个平台汇聚了多种先进技术，旨在通过智能整合各类资源与信息，帮助企业实现全面的管理创新。智慧园区管理平台不仅仅是一个数据处理工具…...

编程日记 2025/5/21 17:26:25

从规则到神经网络：机器翻译技术的演进与未来展望

从规则到神经网络：机器翻译技术的演进与未来展望引言还记得早些年用翻译软件翻译一句简单的英文句子，却发现翻译结果让人啼笑皆非的日子吗？从“我喜欢吃苹果”被翻译成“我喜欢吃苹果电脑”，到今天的神经网络机器翻译（Neural Machine Translation, NMT）能够生成语义流…...

编程日记 2025/5/16 11:36:50

[MySQL]事务的隔离级别原理与底层实现

目录 1.为什么要有隔离性 2.事务的隔离级别读未提交读提交可重复读串行化 3.演示事务隔离级别的操作查看与设置事务的隔离级别演示读提交操作演示可重复读操作 1.为什么要有隔离性在真正的业务场景下，MySQL服务在同一时间一定会有大量的客户端进程…...

编程日记 2025/5/21 18:56:29

hdfs:介绍三个脚本

1、jps-cluster.sh 如果我们想在Bigdata01 这台电脑上，查看整个集群的服务启动情况，可以使用这个脚本文件。 #!/bin/bash USAGE"使⽤⽅法：sh jps-cluster.sh" NODES("bigdata01" "bigdata02" "bigdata03…...

编程日记 2025/5/20 1:03:50

【Oracle篇】使用Hint对优化器的执行计划进行干预(含单表、多表、查询块、声明四大类Hint干预)

💫《博主介绍》：✨又是一天没白过，我是奈斯，从事IT领域✨ 💫《擅长领域》：✌️擅长阿里云AnalyticDB for MySQL(分布式数据仓库)、Oracle、MySQL、Linux、prometheus监控；并对SQLserver、NoSQL(…...

编程日记 2025/5/19 20:26:29

【Rust自学】15.7. 循环引用导致内存泄漏

说句题外话，这篇文章真心很难，有看不懂可以在评论区问，我会尽快作答的。喜欢的话别忘了点赞、收藏加关注哦（加关注即可阅读全文），对接下来的教程有兴趣的可以关注专栏。谢谢喵！(･ω…...

编程日记 2025/5/17 17:42:26

4.scala默认参数值

Scala具备给参数提供默认值的能力，这样调用者就可以忽略这些具有默认值的参数。 def log(message: String, level: String "INFO") println(s"$level: $message")log("System starting") // prints INFO: System starting log(&q…...

编程日记 2025/5/21 23:14:24

前端知识速记—JS篇：null 与 undefined

前端知识速记—JS篇：null 与 undefined 什么是 null 和 undefined？ 1. undefined 的含义 undefined 是 JavaScript 中默认的值，表示某个变量已被声明但尚未被赋值。当尝试访问一个未初始化的变量、函数没有返回值时，都会得到 u…...

编程日记 2025/5/21 18:23:16

微信小程序中常见的跳转方式及其特点的表格总结（wx.navigateTo 适合需要返回上一页的场景）

文章目录详细说明总结wx.navigateTo 的特点为什么 wx.navigateTo 最常用？其他跳转方式的使用频率总结以下是微信小程序中常见的跳转方式及其特点的表格总结： 跳转方式API 方法特点适用场景wx.navigateTowx.navigateTo({ url: 路径 })保留当前页面&…...

编程日记 2025/5/21 17:55:57

【人工智能】基于Python的机器翻译系统，从RNN到Transformer的演进与实现

《Python OpenCV从菜鸟到高手》带你进入图像处理与计算机视觉的大门！解锁Python编程的无限可能：《奇妙的Python》带你漫游代码世界机器翻译（Machine Translation, MT）作为自然语言处理领域的重要应用之一，近年来受到了广泛的关注。在本篇文章中，我们将详细探讨如何使…...

编程日记 2025/5/21 17:07:19

蓝桥备赛指南（5）

queue队列 queue是一种先进先出的数据结构。它提供了一组函数来操作和访问元素，但它的功能相对较简单，queue函数的内部实现了底层容器来存储元素，并且只能通过特定的函数来访问和操作元素。 queue函数的常用函数 1.push()函数：…...

编程日记 2025/5/18 10:02:59

蓝桥云客好数

0好数 - 蓝桥云课问题描述一个整数如果按从低位到高位的顺序，奇数位（个位、百位、万位…）上的数字是奇数，偶数位（十位、千位、十万位…）上的数字是偶数，我们就称之为“好数”。给定一个正…...

编程日记 2025/5/20 22:46:27

CF 764B.Timofey and cubes(Java实现)

题目分析输入n个数字，首尾交换，奇数对换，偶数对不换思路分析存入数组，遍历时判断i%20时(数组下标0开始，所以题目分析没有错)，对换代码 import java.util.*;public class Main {public static void ma…...

编程日记 2025/5/20 9:15:49

四.3 Redis 五大数据类型/结构的详细说明/详细使用（ hash 哈希表数据类型详解和使用）

四.3 Redis 五大数据类型/结构的详细说明/详细使用（ hash 哈希表数据类型详解和使用） 文章目录四.3 Redis 五大数据类型/结构的详细说明/详细使用（ hash 哈希表数据类型详解和使用）2.hash 哈希表常用指令(详细讲解说明)2.1 hset …...

编程日记 2025/5/21 13:28:37

AIGC（生成式AI）试用 20 -- deepseek 初识

>> 基本概念 Ollama -- 运行大模型，管理运行AI大模型的工具，用来安装布置DeepSeek https://ollama.com/ , Get up and running with large language models. AnythingLLM -- 大模型增强应用，GUI大模型交互程序 Download AnythingLLM …...

编程日记 2025/5/18 23:53:13

你好！这是我自己的CSDN博客！

写于2025年1月30日我是一个普通的嵌入式软件程序员，喜欢研究Linux（应用层跟内核从都有粗浅的涉略），单片机，操作系统和计算机体系架构等内容，目前是一枚普通的本科生。笔者是一个朴素的开源主义者&#xf…...

编程日记 2025/5/21 1:20:41

将pandas.core.series.Series类型的小数转化成百分数

大年初二，大家过年好，蛇年行大运！ 今天在编写一个代码的时候，使用 import pandas as pd产生了pandas.core.series.Series类型的数据，里面有小数，样式如下： 目的：将这些小数转化为百…...

编程日记 2025/5/19 8:14:33

[EAI-027] RDT-1B，目前最大的用于机器人双臂操作的机器人基础模型

Paper Card 论文标题：RDT-1B: a Diffusion Foundation Model for Bimanual Manipulation 论文作者：Songming Liu, Lingxuan Wu, Bangguo Li, Hengkai Tan, Huayu Chen, Zhengyi Wang, Ke Xu, Hang Su, Jun Zhu 论文链接：https://arxiv.org/ab…...

编程日记 2025/5/21 9:15:10

oracle中使用in 和 not in 查询效率分析

在Oracle数据库中，IN和NOT IN的查询效率受多种因素影响，以下是关键点总结和优化建议： 1. IN 的效率优化方式： IN 通常会被优化为 OR条件或半连接（Semi-Join），如果子查询关联到外部表&#x…...

编程日记 2025/5/21 16:43:51

【python】四帧差法实现运动目标检测

四帧差法是一种运动目标检测技术，它通过比较连续四帧图像之间的差异来检测运动物体。这种方法可以在一定的程度上提高检测的准确性。目录 1 方案 2 实践 ① 代码 ② 效果图 1 方案具体的步骤如下： ① 读取视频流：使用cv2.VideoCapture…...

编程日记 2025/5/19 23:54:05

指针的介绍4【回调函数、qsort函数的运用】

1.回调函数 1.1定义回调函数就是通过函数指针而被调用的函数把函数的指针（地址）作为参数传递给另⼀个函数，当这个指针被⽤来调⽤其所指向的函数时，被调⽤的函数就是回调函数回调函数不是由该函数的实现⽅直接调⽤&#xff0…...

编程日记 2025/5/20 0:27:59

Attention Free Transformer (AFT)-2020论文笔记

名称： Attention Free Transformer (AFT) 来源： [2105.14103] An Attention Free Transformer 相关工作： #Approximatingthedotproduct #Sparselocalattention #Contextcompression #Eliminatingdotproductattention #MLPsforvision 创…...

编程日记 2025/5/17 5:24:19