블라인드 SQL 인젝션 방지

Question

Google 웹 페이지에서 취약점을 검사했습니다. 다음 쿼리에서 중요한 블라인드 SQL 주입을 받았습니다. 준비된 진술을 사용하고 있습니다. SQL Injection 공격을 막기 위해 내가 할 수있는 또 다른 조치는 무엇입니까? 저에게 알려주세요. 여기에 내 예제 코드가있다. 나는 어떤 제안을 주셔서 감사합니다.

$first_name = $_POST["first-name"]; 
$middle_name = $_POST["middle-name"]; 
$last_name = $_POST["last-name"]; 

$qry = $pdo_conn->prepare('INSERT INTO table1(first_name, last_name, middle_initial) VALUES (?, ?, ?)'); 
$qry->execute(array($first_name, $last_name, $middle_name)); 

Answer 1

Blind SQL Injection 나는 "블라인드 SQL 인젝션의 개념에 익숙하지 않다 ",하지만 내가 이해하는 바에 따르면, 우리 모두가 알듯이 (결과의 해석 만 다르다.) 일반적인 SQL 코드 주입과 똑같이 작동한다.

준비된 명령문을 사용하고 있으므로 잠재적으로 위험한 모든 SQL 코드가 이스케이프되며이 경고에 대해서는 걱정할 필요가 없습니다. 면책 조항 : 나는 변호사 보안 컨설턴트가 아닙니다.

Answer 2

첫 번째 이탈 문자.

$first_name = $_POST["first-name"]; 
$safe_variable = mysql_real_escape_string($first-name); 

Answer 3

당신은 또한 이런 식으로 작업을 수행 할 수 있습니다

$qry = $pdo_conn->prepare('INSERT INTO table1(first_name, last_name, middle_initial) VALUES (?, ?, ?)'); 

$qry->bindParam(1,$first_name); 
$qry->bindParam(2,$middle_name); 
$qry->bindParam(3,$last_name); 

$first_name = strip_tags(mysqli_real_escape_string($qry,$_POST["first-name"])); 
$middle_name = strip_tags(mysqli_real_escape_string($qry,$_POST["middle-name"])); 
$last_name = strip_tags(mysqli_real_escape_string($qry,$_POST["last-name"])); 

$qry->execute(); 

블라인드 SQL 인젝션에 대한 자세한 도움말을 참조하십시오 Sql Injection 및

Answer 4

이 경우가 여기에 게시 된 실제 코드입니다, 는 더 주입 취약점이 없습니다. "맹인"도 아니고 다른 유형도 아닙니다.

이 코드에는 개선이 필요하지 않습니다.

잘못된 경보를 발생시키지 않는 더 나은 스캐너를 찾아야합니다.