最近了解到安全公司的面试中都问到了很多关于SQL注入的一些原理和注入类型的问题，甚至是SQL注入的防御方法。SQL注入真的算是web漏洞中的元老了，著名且危害性极大。下面这里就简单的分享一下我总结的四种SQL注入防御手段，加深理解，方便下次遇到这种问题时可以直接拿来使用。(主要是怕面试中脑壳打铁，这种情况太常见了)
SQL注入占我们渗透学习中极大地一部分，拥有这很重要的地位。随着防御手段的不段深入，市面上存在SQL注入的网站的确少之又少了，但不能说是没有。在我看来，学习SQL注入的目的并不只是学习针对这种方法，而是一类方法，包括他的思想，思路和奇淫技巧，简单点说就是举一反三。学到现在发现好像越向后面学其他漏洞，方法思路都大体一致，比如字符串拼接，构造闭合语句，函数替代等等。
好了，说了这么多，现在我们步入正题吧！
我们简单理解SQL注入就是在人为可以构造参数的地方加入一些非法敏感语句，绕过后端的处理，并带入到数据库中执行，然后返回敏感数据的过程。
限制数据类型
在传入参数的地方限制参数的类型，比如整型 Integer，随后加入函数判断，如is_numeric($_GET[‘id’]) 只有当get到的id为数字或者数字字符时才能执行下一步，限制了字字符自然就限制了注入，毕竟构造参数怎么可能不传入字符。但这种方法存在一定的限制，只能在特定的页面才能使用，一般大部分都是要求我们传入的字符串，但可以很大程度限制整型注入的情况。(针对此函数也是有一定绕过手段，比如转为十六进制)
正则表达式匹配传入参数
相信对于正则表达式大家都不陌生了，几乎在过滤比较严格的地方都有正则表达式。(后面我也会写一篇关于使用正则表达式的文章，包括基础的使用和绕过)。这里简单解读一下这段正则表达式：
$id=$_POST['id'];
if (preg_match('/and|select|insert|insert|update|[A-Za-z]|/d+:/i', $id)) {
die('stop hacking!');
} else {
echo 'good';
}
preg_match() 函数匹配传入的id值，
/ 作为正则的起始标识符
| 代表或
[A-Za-z] 表示匹配参数中是否存在大小写的26个字符
/d 匹配是否存在数字
+匹配一次或多次
/i 不区分大小写
像下面这句：
?id=1’ union select 1,2# 因为匹配到union select，输出 stop hacking!
正则表达式也具有一定危险性，在SQL注入绕过waf中谈到过，正则表达式匹配非常消耗性能，因此攻击时可以构造大量的正常语句‘骗’过服务器，当后台对数据的处理达到最大限制时就会放弃匹配后面我们构造的非法语句，从而略过这个数据包。
函数过滤转义
在php中最基本的就是自带的magic_quotes_gpc函数，用于处理 ’ " 符号加上/ 防止转义, 比如：
?id=1' and 1=1# ===> ?id=1/' and 1=1#
另外还有addslashes(),也具有相同的效果。
像前面提到的**preg_match()**函数结合正则表达式或者黑名单也具有预防效果。
小tips：默认情况下，PHP 指令 magic_quotes_gpc 为 on，对所有的 GET、POST 和 COOKIE 数据自动运行 addslashes()。不要对已经被 magic_quotes_gpc 转义过的字符串使用 addslashes()，因为这样会导致双层转义。遇到这种情况时可以使用函数 get_magic_quotes_gpc() 进行检测。
预编译语句
预编译语句对现在的程序员来说基本都会去设计使用的方法，保障数据库的安全。一般来说，防御SQL注入的最佳方式就是使用预编译语句，绑定变量。
String query="select password from users where username='?' ";
下面讲一下什么叫预编译：使用预编译相当于是将数据于代码分离的方式，把传入的参数绑定为一个变量，用？表示，攻击者无法改变SQL的结构，在这个例子中，即使攻击者插入类似 admin’ or 1=1# 的字符串，如果不做处理直接带入查询，那么query则变成了
query="select password from users where username='admin' or 1=1 ";
闭合了后面的引号，从而执行了恶意代码。而预编译则是将传入的 admin’ or 1=1# 当做纯字符串的形式作为username执行，避免了上面说到的SQL语句中的拼接闭合查询语句等过程，可以理解为字符串与sql语句的关系区分开，username此时作为字符串不会被当做之前的SQL语句被带入数据库执行，避免了类似sql语句拼接、闭合等非法操作。就相当于拿着这个字符串去数据库中找有没有这个东西一样。并且使用预编译的SQL语句，SQL语句的语义不会发生改变。
下面给个php绑定变量的事例：
$query="INSERT INTO myCity (Name,CountryCode,District) VALUES (?,?,?)";
$stmt=$mysqli->prepare($query);
$stmt->bind_param("sss",$val1,$val2,$val3);
$val1="Stuttgart";
$val2="DEU";
$val3="Baden";
//execute the statement
$stmt->execute();
以上谈到的四种方法都是一些基本方法，具体怎么实现防御还要看怎么去设计。说到预编译语句是最佳方式，并不是说只是使用这一种方法就能够防止SQL注入，而实际上预编译也存在注入绕过的问题，并且也不是所有的地方都能够使用预编译语句。最佳的方式应该是多种方法结合，使用预编译的同时还要加上其他函数过滤，正则匹配等，更多的还有根据实际情况自定义函数确保安全。
最近在看《白帽子将web安全》这本书，这篇文章很多都是用的里面的知识。书里讲的很好很详细，有深度也有广度。在学习中也有很多疑惑的地方，初入网络安全，希望可以和大家多多交流彼此经验。同时也欢迎各个大佬指正！
我正在学习如何使用Nokogiri，根据这段代码我遇到了一些问题:require'rubygems'require'mechanize'post_agent=WWW::Mechanize.newpost_page=post_agent.get('http://www.vbulletin.org/forum/showthread.php?t=230708')puts"\nabsolutepathwithtbodygivesnil"putspost_page.parser.xpath('/html/body/div/div/div/div/div/table/tbody/tr/td/div
总的来说，我对ruby还比较陌生，我正在为我正在创建的对象编写一些rspec测试用例。许多测试用例都非常基础，我只是想确保正确填充和返回值。我想知道是否有办法使用循环结构来执行此操作。不必为我要测试的每个方法都设置一个assertEquals。例如:describeitem,"TestingtheItem"doit"willhaveanullvaluetostart"doitem=Item.new#HereIcoulddotheitem.name.shouldbe_nil#thenIcoulddoitem.category.shouldbe_nilendend但我想要一些方法来使用
类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc
我正在尝试设置一个puppet节点，但rubygems似乎不正常。如果我通过它自己的二进制文件(/usr/lib/ruby/gems/1.8/gems/facter-1.5.8/bin/facter)在cli上运行facter，它工作正常，但如果我通过由rubygems(/usr/bin/facter)安装的二进制文件，它抛出:/usr/lib/ruby/1.8/facter/uptime.rb:11:undefinedmethod`get_uptime'forFacter::Util::Uptime:Module(NoMethodError)from/usr/lib/ruby
我想了解Ruby方法methods()是如何工作的。我尝试使用“ruby方法”在Google上搜索，但这不是我需要的。我也看过ruby-doc.org，但我没有找到这种方法。你能详细解释一下它是如何工作的或者给我一个链接吗？更新我用methods()方法做了实验，得到了这样的结果:'labrat'代码classFirstdeffirst_instance_mymethodenddefself.first_class_mymethodendendclassSecond使用类#returnsavailablemethodslistforclassandancestorsputsSeco
我在我的项目中添加了一个系统来重置用户密码并通过电子邮件将密码发送给他，以防他忘记密码。昨天它运行良好(当我实现它时)。当我今天尝试启动服务器时，出现以下错误。=>BootingWEBrick=>Rails3.2.1applicationstartingindevelopmentonhttp://0.0.0.0:3000=>Callwith-dtodetach=>Ctrl-CtoshutdownserverExiting/Users/vinayshenoy/.rvm/gems/ruby-1.9.3-p0/gems/actionmailer-3.2.1/lib/action_mailer
设置:狂欢ruby1.9.2高线(1.6.13)描述:我已经相当习惯在其他一些项目中使用highline，但已经有几个月没有使用它了。现在，在Ruby1.9.2上全新安装时，它似乎不允许在同一行回答提示。所以以前我会看到类似的东西:require"highline/import"ask"Whatisyourfavoritecolor?"并得到:Whatisyourfavoritecolor?|现在我看到类似的东西:Whatisyourfavoritecolor?|竖线(|)符号是我的终端光标。知道为什么会发生这种变化吗？ 最佳答案
我已经从我的命令行中获得了一切，所以我可以运行rubymyfile并且它可以正常工作。但是当我尝试从sublime中运行它时，我得到了undefinedmethod`require_relative'formain:Object有人知道我的sublime设置中缺少什么吗？我正在使用OSX并安装了rvm。 最佳答案 或者，您可以只使用“require”，它应该可以正常工作。我认为“require_relative”仅适用于ruby1.9+ 关于ruby-主要:Objectwhenrun
我有一个具有一些属性的模型:attr1、attr2和attr3。我需要在不执行回调和验证的情况下更新此属性。我找到了update_column方法，但我想同时更新三个属性。我需要这样的东西:update_columns({attr1:val1,attr2:val2,attr3:val3})代替update_column(attr1,val1)update_column(attr2,val2)update_column(attr3,val3) 最佳答案 您可以使用update_columns(attr1:val1,attr2:val2
我不确定传递给方法的对象的类型是否正确。我可能会将一个字符串传递给一个只能处理整数的函数。某种运行时保证怎么样？我看不到比以下更好的选择:defsomeFixNumMangler(input)raise"wrongtype:integerrequired"unlessinput.class==FixNumother_stuffend有更好的选择吗？ 最佳答案 使用Kernel#Integer在使用之前转换输入的方法。当无法以任何合理的方式将输入转换为整数时，它将引发ArgumentError。defmy_method(number)