python开发应用程序存在SQL注入漏洞

[honeyshun]

python开发应用程序在安全监测时发现存在安全漏洞，求大拿协助解决，谢谢。
具体问题描述如下：
URL:http://.../datastore_search_sql?sql=1
参数sql存在注入漏洞，成功判断出后端DBMS以及注入出当前数据库名，如下图：

[陈年椰子]

这个要从参数处理部分来分析吧。程序把参数当SQL语句来执行？

[oyljerry]

一个是对参数做过滤，另一个就是定制错误返回信息，过滤一些关键的信息

[xiemanR]

先过滤参数，再执行sql语句。