织梦dedeCMS如何防止投票模块SQL注入垃圾信息

  由于织梦dedeCMS是一款开源程序，漏洞比较多，因此使用这款程序建站的站长朋友们无时无刻不在担忧被挂马，攻击，挂黑链等问题。361源码小编之前也写了一些关于织梦被入侵的一些防范文章总结，如《DEDECMS织梦内容管理系统安全设置（防范网站注入）》、《dedecms织梦安全设置 防止系统被挂黑链木马》、《织梦DEDECMS安全设置指南概要》等，有需求的朋友可以移步参看。

  因为一旦网站被挂马，就不只是挂在一个文件中，模板，后台等都会被挂，今天又遇到了一种挂马的方法，那就是通过SQL注入。

那么是如何注入的呢？留心的站长们会发现在首页文章的最下面一般会有一个对文章进行投票的模块图标，当我们打开投票模块代码的时候发现投票模块代码没有对用户提交过来的SQL参数进行转义。这就导致了入侵者有机可乘了。作为一个程序员而言在开发的时候都会使用addslashes()函数对用户提交过来的数据进行转义操作，那么在这个模块代码中该如何进行转义呢？下面小编就来详细的讲解下方法吧。

首先根据路径找到/include/dedevote.class.php文件，使用一款编辑软件打开。

查找以下代码：

$this->dsql->ExecuteNoneQuery("UPDATE`xiuzhanwang_vote`SET totalcount='".($this->VoteInfos['totalcount']+1)."',votenote='".addslashes($items)."' WHERE aid='".$this->VoteID."'");

替换为：

$this->dsql->ExecuteNoneQuery("UPDATE`xiuzhanwang_vote`SET totalcount='".($this->VoteInfos['totalcount']+1)."',votenote='".mysql_real_escape_string($items)."' WHERE aid='".mysql_real_escape_string($this->VoteID)."'");

其实也就是addslashes()改为mysql_real_escape_string()对模块投票提交过来的数据进行转义后再向数据库提交，这样转义之后就会把例如逗号，双引号全部转义成单斜杠了。这样就可以有效的防范投票的时候被SQL注入的风险了。