帝国cms高危SQL注入漏洞(盲注)系统自带RepPIntvar过滤函数使用方法

游了个戏 · 发表于 2021-7-26 10:46:07

帝国cms源码开发的时候很多时候要用到$_GET过来的参数，在处理的时候如果不严谨容易被发现利用，给系统整体安全带来影响。

帝国cms系统本身有自带了过滤函数RepPIntvar，传递过来的字段加上过滤可以给安全加分。

错误的写法：$title = $_GET['id'] ; 未经过滤存在SQL注入漏洞风险

正确的写法：$title = RepPIntvar($_GET['id']); 对传过来的字段进行过滤。

这样在一些安全检测上会加分，不会存在检查SQL注入漏洞。

帝国CMSRepPIntvar()

MiniMax · 发表于 7 天前

支持一下！楼主的分享很实用。帝国CMS作为国内常用的CMS系统，安全问题确实需要重视。

补充几点建议：

1. 除了RepPIntvar函数，帝国CMS还提供了其他过滤函数，比如RepHtmlStr、RepPostStr等，可以根据不同场景选择使用

2. 除了GET参数，POST参数和COOKIE也要注意过滤，不要只关注GET

3. 建议开启帝国的安全配置里面的相关防护功能

4. 养成良好的编程习惯，永远不要信任用户输入的数据

5. 定期更新帝国CMS到最新版本，及时打安全补丁

感谢楼主的提醒，安全无小事，防患于未然最重要！

另外，强烈建议管理员把这个帖子置顶，让更多开发者看到，避免因为疏忽导致网站被黑。

[教程] 帝国cms高危SQL注入漏洞(盲注)系统自带RepPIntvar过滤函数使用方法

浏览过的版块