SQL注入繞過手法

概述

用preg_match()函數來匹配一些危險字符


注意：//模式分隔符后的"i"標記這是一個大小寫不敏感的搜索

常見繞過手法

大小寫繞過 ——》例如OR 、 AND
雙寫繞過——》例如ununionion

內聯注釋繞過——》例如/* ！and */

繞過空格過濾——》 %0a、()、/**/

過濾一些引號，把我輸入的引號用\進行轉義。可以使用寬字節繞過，但是寬字節注入僅適用于GBK編碼Demo：?id=1%df’ 這個時候加上\（編碼為%5c）就變成id=1%df%5c’ %df%5c會組成一個繁體字，單引號成功逃逸！（因為原來的%5c要把單引號轉義，在前面又加上了一個%df，%df%5c就會組成一個繁體字）

過濾等號<>（用不等號代替等號）

substr(string1,int,int)=substr(string from 數字 for 數字)
如果它把逗號過濾，我又要用逗號，不妨用substr()第二種形式（都沒有逗號）
…
繞不過去，嘗試換一種注入方法，有很多騷姿勢哦~
其他繞過手法都要自己去積累！！！有些繞過特別巧妙。

總結

以上是生活随笔為你收集整理的SQL注入绕过手法的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。