注入非SQL站点(仅限PHP)

Question

我有一个没有SQL的CMS站点.一切都写入文件.

但是有一个function(login($login, $pass))用一个简单的if-else语句检查登录表单中的POST数据

if 
    login-data-from-file == POST['login'] 
and
    password-data-from-file == POST['pass'] 
then 
   "Log user in"

我想知道是否有办法注入这样的代码.你怎么看？

Answer 1

没有,因为大概你只是比较字符串.

但是,对SQL注入的免疫力不会自动使任何应用程序安全.总是需要担心跨站点脚本和会话固定(只有两个最常见的攻击向量).