回答1：

考虑以下查询：

$iId = mysql_real_escape_string("1 OR 1=1");    
$sSql = "SELECT * FROM table WHERE id = $iId";

mysql_real_escape_string()不会阻止您这样做。 您在查询中的变量周围使用单引号('')的事实是保护您免受此伤害的事实。以下也是一种选择：

$iId = (int)"1 OR 1=1";
$sSql = "SELECT * FROM table WHERE id = $iId";

回答2：

简短的回答是是的，是的，有一种方法可以解决mysql_real_escape_string() 。

非常模糊的边缘情况！！！

长答案并不容易。它基于此处演示的攻击。 / p>

攻击

所以，让我们开始展示攻击...

mysql_query('SET NAMES gbk');
$var = mysql_real_escape_string("\xbf\x27 OR 1=1 /*");
mysql_query("SELECT * FROM test WHERE name = '$var' LIMIT 1");

在某些情况下，它将返回1行以上。让我们剖析这里发生的事情：

1. 选择字符集

   复制

   mysql_query('SET NAMES gbk');
   

   要使此攻击有效，我们需要服务器在连接时期望的编码像ASCII一样对'进行编码，即0x27 和，以使其某些字符的最终字节为ASCII \即 0x5c 。事实证明，默认情况下，MySQL 5.6默认支持5种此类编码：big5，cp932，gb2312，gbk和sjis。我们将在此处选择gbk。

   现在，在此处注意使用SETNAMES十分重要。这将在服务器上上设置字符集。如果我们使用对C API函数mysql_set_charset()的调用，我们会很好的(自2006年以来的MySQL版本)。但是更多关于为什么的一分钟...

2. 有效负载

   我们将用于此注入的有效负载以字节序列0xbf27开始。在gbk中，这是一个无效的多字节字符；在latin1中，它是字符串¿'。请注意，在latin1 和 gbk中，0x27本身就是文字'字符。

   我们选择此有效负载是因为，如果在其上调用addslashes()，则会插入ASCII \即0x5c ，在'字符之前。因此，我们将以0xbf5c27结尾，在gbk中它是两个字符序列：0xbf5c后跟0x27 。换句话说，是 valid 字符，后跟未转义的'。但是我们没有使用addslashes()。继续下一步...

3. mysql_real_escape_string()

   对mysql_real_escape_string()的C API调用与addslashes()不同因为它知道连接字符集。因此，它可以为服务器期望的字符集正确执行转义。但是，到目前为止，客户端认为我们仍在使用latin1进行连接，因为我们从未告诉过它。我们确实告诉服务器我们正在使用gbk，但是 client 仍然认为它是latin1。

   因此，对mysql_real_escape_string()的调用将插入反斜杠，并且我们的"转义"内容中有一个自由悬挂的'字符！实际上，如果我们要查看gbk字符集中的$var，我们会看到：

   复制

   縗' OR 1=1 /*

   这是攻击确切地是。

4. 查询

   这只是一个形式，但这是呈现的查询：

   复制

   SELECT * FROM test WHERE name = '縗' OR 1=1 /*' LIMIT 1
   

$pdo->query('SET NAMES gbk');
$stmt = $pdo->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$stmt->execute(array("\xbf\x27 OR 1=1 /*"));

$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

mysql_query('SET NAMES utf8');
$var = mysql_real_escape_string("\xbf\x27 OR 1=1 /*");
mysql_query("SELECT * FROM test WHERE name = '$var' LIMIT 1");

mysql_set_charset('gbk');
$var = mysql_real_escape_string("\xbf\x27 OR 1=1 /*");
mysql_query("SELECT * FROM test WHERE name = '$var' LIMIT 1");

$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
$pdo->query('SET NAMES gbk');
$stmt = $pdo->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$stmt->execute(array("\xbf\x27 OR 1=1 /*"));

$pdo = new PDO('mysql:host=localhost;dbname=testdb;charset=gbk', $user, $password);
$stmt = $pdo->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$stmt->execute(array("\xbf\x27 OR 1=1 /*"));

$mysqli->query('SET NAMES gbk');
$stmt = $mysqli->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$param = "\xbf\x27 OR 1=1 /*";
$stmt->bind_param('s', $param);
$stmt->execute();

回答3：

TL; DR

mysql_real_escape_string()在以下情况下将不提供任何保护(并且可能会进一步破坏您的数据)

• MySQL的 NO_BACKSLASH_ESCAPES 启用SQL模式(除非您每次明确地每次连接时选择另一个SQL模式，否则都可能启用)；和

• 您的SQL字符串文字使用双引号"字符引用。

此文件的文件格式为错误＃72458 ，并已在MySQL v5中修复。 .7.6(请参见下面的" 节约的恩宠"部分)。

这是另一个(也许更少？)晦涩的EDGE案例！！！

为了向 @ircmaxell的出色回答致敬(实际上，这应该是奉承，而不是窃！)他的格式：

攻击

从演示开始...

mysql_query('SET SQL_MODE="NO_BACKSLASH_ESCAPES"'); // could already be set
$var = mysql_real_escape_string('" OR 1=1 -- ');
mysql_query('SELECT * FROM test WHERE name = "'.$var.'" LIMIT 1');

这将返回test表中的所有记录。解剖：

1. 选择SQL模式

   复制

   mysql_query('SET SQL_MODE="NO_BACKSLASH_ESCAPES"');
   

   如字符串文字：

   有几种方法可以在字符串中包含引号字符：

   • 用" '"引用的字符串中的" '"可以写为" ""。

   • 用" ""引用的字符串中的" ""可以写为" """。

   • 在引号字符前加上转义字符(" \")。

   • 用" ""引用的字符串中的" '"不需要特殊处理，不需要加倍或转义。引号中带有" '"的字符串中的""不需要特殊处理。

   如果服务器的SQL模式包括 NO_BACKSLASH_ESCAPES ，则这些选项的第三个(这是mysql_real_escape_string()所采用的常用方法)不可用：必须使用前两个选项之一。请注意，第四个项目符号的作用是，必须一定知道用于引用文字的字符，以免混淆自己的数据。

2. 有效负载

   复制

   " OR 1=1 -- 
   

   有效负载实际上是使用"字符启动注入的。编码，没有特殊字符，没有奇怪的字节。

3. mysql_real_escape_string()

   复制

   $var = mysql_real_escape_string('" OR 1=1 -- ');
   

   幸运的是，mysql_real_escape_string()确实检查了SQL模式并对其进行了调整。行为相应。参见 libmysql.c ：

   复制

   ulong STDCALL
   mysql_real_escape_string(MYSQL *mysql, char *to,const char *from,
                ulong length)
   {
     if (mysql->server_status & SERVER_STATUS_NO_BACKSLASH_ESCAPES)
       return escape_quotes_for_mysql(mysql->charset, to, 0, from, length);
     return escape_string_for_mysql(mysql->charset, to, 0, from, length);
   }
   

   因此，如果NO_BACKSLASH_ESCAPES，则调用另一个基础函数escape_quotes_for_mysql()正在使用SQL模式。如上所述，这样的函数需要知道将使用哪个字符来引用文字，以便在不引起另一个引号字符被字面重复的情况下重复该文字。

   但是，该函数任意地假设使用单引号'字符对该字符串进行引号。参见 charset.c ：

   复制

   /*
     Escape apostrophes by doubling them up
   
   // [ deletia 839-845 ]
   
     DESCRIPTION
       This escapes the contents of a string by doubling up any apostrophes that
       it contains. This is used when the NO_BACKSLASH_ESCAPES SQL_MODE is in
       effect on the server.
   
   // [ deletia 852-858 ]
   */
   
   size_t escape_quotes_for_mysql(CHARSET_INFO *charset_info,
                                  char *to, size_t to_length,
                                  const char *from, size_t length)
   {
   // [ deletia 865-892 ]
   
       if (*from == '\'')
       {
         if (to + 2 > to_end)
         {
           overflow= TRUE;
           break;
         }
         *to++= '\'';
         *to++= '\'';
       }
   

   因此，它使双引号"字符保持不变(并将所有单引号' 个字符)，而与用于引用文字的实际字符无关！在我们的例子中，$var与提供给 mysql_real_escape_string() -好像根本没有转义 。

4. 查询

   复制

   mysql_query('SELECT * FROM test WHERE name = "'.$var.'" LIMIT 1');
   

   某种形式的查询，呈现的查询为：

   复制

   SELECT * FROM test WHERE name = "" OR 1=1 -- " LIMIT 1
   

mysql_set_charset($charset);
mysql_query("SET SQL_MODE=''");
$var = mysql_real_escape_string('" OR 1=1 /*');
mysql_query('SELECT * FROM test WHERE name = "'.$var.'" LIMIT 1');

mysql_set_charset($charset);
$var = mysql_real_escape_string("' OR 1=1 /*");
mysql_query("SELECT * FROM test WHERE name = '$var' LIMIT 1");

$stmt = $pdo->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$stmt->execute(["' OR 1=1 /*"]);

$var  = $pdo->quote("' OR 1=1 /*");
$stmt = $pdo->query("SELECT * FROM test WHERE name = $var LIMIT 1");

$stmt = $mysqli->prepare('SELECT * FROM test WHERE name = ? LIMIT 1');
$param = "' OR 1=1 /*";
$stmt->bind_param('s', $param);
$stmt->execute();

回答4：

好吧，除了%通配符之外，没有什么可以通过的。如果您使用LIKE语句，可能会很危险，因为如果您不过滤掉它，攻击者可能只将%用作登录名，而只需要暴力破解密码您的任何用户。人们经常建议使用准备好的语句以使其100％安全，因为数据不会以这种方式干扰查询本身。但是对于这样简单的查询，执行类似$login=preg_replace('/[^a-zA-Z0-9_]/','',$login); < / p>