4 个单词，谷歌返回 16 个 SQL 注入漏洞-低调大师

4 个单词，谷歌返回 16 个 SQL 注入漏洞

2021-07-27 605

一名开发者出于好奇在 Google 使用php mysql email register作为关键词进行了搜索。很显然，这是在查找如何使用 PHP 和 MySQL 实现邮箱注册的功能。

搜索结果返回了教程、操作方法、代码片段等内容。不过大多数结果都包含有错误的 SQL 语句，例如：

 
 
  
  // Don't do this! 
  
  mysqli_query("SELECT * FROM user WHERE id = '" . $_POST["user'] . "'");

根据对谷歌搜索结果的整理，这些 SQL 语句可大致分为四种类型：

SQL 查询中的所有参数都被转义
只在绝对必要的情况下才对传入的参数进行转义
作者尝试进行了部分转义，但存在漏洞
没有任何转义逻辑

这名开发者表示，当他发现一个搜索结果中存在有问题的 SQL 语句时，就会跳到浏览下一个结果。上面就是根据此过程整理出来的 30 条搜索结果，其中部分答案包含 SQL 注入语句。对此他认为，大多数 Google 搜索结果的质量十分低下。有些搜索结果就是通过 SEO 优化而排在前面的“扯淡”教程。

同时，这篇文章也引起了程序员的广泛讨论(reddit, Hacker News)，不过大家关注的重点也纷纷转移到了编程语言 PHP 上。但作者本意其实是希望程序员能甄别互联网上随手可得的任何资料，毕竟这里面鱼龙混杂。尤其要注意那些通过 SEO 优化而排名靠前的搜索结果，因为它们往往就是“雷区”。

本文转自OSCHINA

本文标题：4 个单词，谷歌返回 16 个 SQL 注入漏洞

本文地址：https://www.oschina.net/news/152311/16-of-30-google-results-contain-sql-injection

【责任编辑：未丽燕 TEL：（010）68476606】

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202107/674832.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

NPM包可窃取浏览器密码

近日，研究人员发现官方NPM库中的软件包可以从Chrome web浏览器窃取保存的密码。 NPM 是Node.js的包管理器，共有超过150万个包，每个月的下载量超过300亿次。研究人员分析发现，NPM中包含不同类型的可执行文件，包括PE、ELF、MachO等。研究人员分析发现nodejs_net_server包的多个版本中都具有恶意行为。通过这些包的metadata数据分析发现该文件的原始名为a.exe，位于lib文件夹中。研究人员进一步分析发现a.exe是一个ChromePass工具，用来恢复Chrome web浏览器中保存的密码。图1: ChromePass工具该工具本身并不是恶意的，但是可以用于恶意目的。比如，该包使用它来执行恶意密码窃取和凭证窃取。虽然该密码恢复工具有图形用户接口，但是恶意软件作者好像更喜欢用命令行工具。图2: nodejs_net_server NPM包 NPM的 nodejs_net_server包页面表明该包的最新版本为v1.1.2，大约6个月前发布。该包的URL主页指向一个GitHub地址。该包的开发者为chrunlee，是GitHub的活跃开...

2021-07-27

575

Computer Weekly 报道称，2020 东京奥运会购票者与活动志愿者的用户名和密码遭遇了泄露，但上周一位日本政府官员表示问题并不大，并已采取措施来防止受损数据的进一步传播。不过共同社援引不愿意透露姓名的官员的话称，被盗的凭据可用于登录志愿者和购票人网站，并泄露姓名、地址和银行账号等个人数据。 (来自：IFRI.org | PDF) 与里约和伦敦奥运会期间发生的攻击相比，日本政府有做好迎接更猛烈攻击的准备。比如通过与东京 2020 奥组会一起开展网络安全演习(Cyber Colosseum)，以模拟针对城市和农村地区的潜在攻击。今年早些时候，它还通过日本国家信息和通信技术研究所开发的安全培训计划，对来自 NTT 和 NEC 等日本 ICT 企业的 220 名白帽黑客进行了培训。 NTT 首席网络安全策略师 Mihoko Matsubara 在 2021 年 2 月的一份关于日本 2020 东京网络安全战略的报告中指出： COVID-19 大流行促使各界采用复杂的方法来保护活动的现实与虚拟环境安全。超过 90% 的东京 2020 组委会成员在家工作，以防止 COVID-19...

2021-07-27

554

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。