jsp中如何屏蔽insert数据库字段值含有 ' 的问题? !!!!

io0deli 2003-03-24 06:38:19

有没有一个好的解决方案!等待!!谢谢

...全文

84 2 打赏收藏转发到动态举报

写回复

用AI写文章

2 条回复

切换为时间正序

请发表友善的回复…

发表回复

io0deli 2003-03-24

打赏
举报

我是这样的,我是写一个xml文件到库中,如果替代后写到库中,读xml文件的程序就无法解析了
可不可以想到不改变其内容的方法啊?

cityroom 2003-03-24

打赏
举报

写个过滤器，替换没有什么好办法
public String TextToHtml(String str)
{
int strlen;
String restring=null, destr=null;
strlen=str.length();
for(int i=0;i<strlen;i++)
{
char ch=str.charAt(i);
if(ch=="\'")
destr="‘"; }
restring = restring + destr;
}
return "" + restring;
}

本文分享了作者在网站开发中遇到的SQL注入攻击经历，详细解析了SQL注入的原理和常见手法，如注入法和猜解法。并介绍了如何使用PreparedStatement和正则表达式来预防SQL注入，同时提供了字符串过滤和不安全字符屏蔽的方法。

本文系统阐述SQL注入在获得高权限后的进阶利用技术，重点涵盖权限判定方法、跨库查询、文件读写（含SecurePriv绕过）、DNS带外数据外传等核心攻击链。强调MySQL中FILE、SUPER等权限对攻击面扩展的关键影响，以及secure_file_priv配置、日志文件利用、DNS OOB等实战要点，适用于渗透测试与数据库安全加固。

本文深度复现金和OA系统SignUpload.ashx接口的SQL注入漏洞，该漏洞存在于文件上传请求的元数据参数中，属数字型/字符型混合注入，可绕过认证直接操作SQL Server数据库。内容涵盖靶场搭建、手工探测（报错注入与盲注）、SQLMap自动化利用，并提出参数化查询、输入验证、最小权限等修复方案，强调文件上传接口中非文件字段的安全风险。

本文深度解析SQL注入攻击完整链条，涵盖信息探测、报错注入数据渗出、数据库文件读写权限获取及Webshell持久化植入等关键环节；同时系统阐述四层纵深防御体系：代码层（参数化查询与最小权限）、数据库层（禁用LOAD_FILE/SELECT INTO OUTFILE）、运维层（日志审计与文件监控）和应用层（错误屏蔽与WAF协同）。强调攻防对抗中对报错注入原理、绕过技巧及ORM框架安全使用的实战认知。

本文详细复现泛微E-Cology系统中由参数拼接不当引发的SQL注入漏洞，涵盖手工测试（布尔盲注、Union查询）、Sqlmap自动化验证（数据库识别、表结构提取、数据导出）及深度利用（权限提升、xp_cmdshell执行命令）。重点分析漏洞在Java+SQL Server环境下的典型触发点（如流程ID接口），并提出基于预编译语句、最小权限原则和WAF部署的防御方案。