URL 参数中这个异常值的含义和用途是什么？

Question

我正在查看我的服务器日志，我看到了这样的恶意请求：

http://www.*****.in/catalogue.php?storeid=%27nvOpzp;%20AND%201=1%20OR%20(%3C%27%22%3EiKO))

用户想要做什么，我该如何防范这些事情？

Answer 1

如果我们对参数值进行 urldecode，它会变得更具可读性，并且很明显这是一次 SQL 注入尝试 - 参数变为

Opzp; AND 1=1 OR (<'">iKO)

演示：https://3v4l.org/apMJ7 .

如果您不熟悉如何防范这类事情，请参阅 How can I prevent SQL injection in PHP?。基本上，您需要使用准备好的语句并参数化您合并到查询中的所有变量值。