SiteLock SQL 주입 및 XSS는 SiteLock를 구입

안녕 실패 스캔과 내 사이트의 SQL 주입 & XSS는SiteLock SQL 주입 및 XSS는 SiteLock를 구입

을 검사 실패했다

SQL 삽입 : URL : https://www.sitename.com/product.php?id=1 설명 : 주입 지점 : GET; 주입 매개 변수 : id; 사출 형 : 숫자

XSS 검사 : URL을 : https://www.sitename.com/product.php?id=1 설명 : ID

내가 그것을 수집하는 방법을 모르는을, 어떤 사람이 나를 도울 수 있을까?

아래는 데이터베이스에서 데이터를 가져 오는 php 함수입니다.

function get_products_in_cat_page(){ 

$query = query(" SELECT * FROM products WHERE product_category_id = " . escape_string($_GET['id']) . " "); 
confirm($query); 

if(mysqli_num_rows($query) == 0) { 

set_message("Will update soon the new products"); 

} else { 

while($row = fetch_array($query)) { 

$product_image = display_image($row['product_s_image1']); 
$product_image2 = display_image($row['product_s_image2']); 
if ($row['product_quantity'] < 1) { 
    $outofstock = "<div class='sale-flash out-of-stock'>Out of Stock</div>"; 
} else { 
    $outofstock = ""; 
} 

$product = <<<DELIMETER 

<div class="product clearfix" style="padding:8px;"> 
    <div class="product-image"> 
     <a href="product.php?id={$row['product_id']}"><img src="images/{$product_image}" alt="{$row['product_title']}" class="selected"></a> 
     <a href="product.php?id={$row['product_id']}"><img src="images/{$product_image2}" alt="{$row['product_title']}"></a> 
     {$outofstock} 
     <div class="product-overlay"> 
      <a href="include/ajax/quick_view.php?id={$row['product_id']}" class="add-to-cart" data-lightbox="ajax"><i class="icon-shopping-cart"></i><span>Quick View</span></a> 
      <a href="product.php?id={$row['product_id']}" class="item-view"><i class="icon-zoom-in2"></i><span> More info.</span></a> 
     </div> 
    </div> 
    <div class="product-desc center"> 
     <a href="product.php?id={$row['product_id']}"> 
     <div class="product-title"><h3 style="font-size:15px;">{$row['product_title']}</h3></div> 
     </a> 
     <div class="product-price">&#36;{$row['product_price']}</div> 
     <div class="product-rating"> 

     </div> 
    </div> 
</div> 


DELIMETER; 

echo $product; 

} 
} 


}

출처

2017-05-12 Sam Lee

mysqli_real_escape_string이 더 있지만 $ _GET을 가져 귀하의 경우에 작동 [ 'ID'] 정수이다 충분

WHERE product_category_id = ".(int)$_GET['id']

출처

2017-05-19 05:18:15 Joseph

SiteLock SQL 주입 및 XSS는 SiteLock를 구입

답변

관련 문제