我一直在看+--+；在我的apache日志中，它是什么？

我查看我的apache服务器日志，几乎总是有人扫描服务器漏洞时，我总是在他们的查询字符串中看到这一点

+--+

就像下面的例子一样

.
.
.
/includes/usercp_register.php?phpbb_root_path=1'+--+?
/includes/profilcp_constants.php?module_root_path=1'+--+?
/includes/functions_user_viewed_posts.php?phpbb_root_path=1'+--+?
/includes/orderSuccess.inc.php?&glob=1&cart_order_id=1&glob[rootDir]=1'+--+
.
.
.

我知道他们正在扫描流行的漏洞，但我想知道的是+-->的目的是什么

---

我想用它来过滤查询字符串中的fail2ban，加号是空格的简写符号。请记住，URL中不允许使用空格，因此必须对其进行百分比编码（

%20

），或者仅在URL的查询字符串部分使用加号表示。（因此，这意味着实际加值必须在查询字符串中进行百分比编码，而不是在URL的其他位置。）

在这种情况下，攻击者正在尝试简单。《守则》第39条是一个引号（

”

），而

+

URL解码为一个空格。因此，最终会发生这种情况：

phpbb_root_path=1' -- 

（

--

是一条SQL注释。）

---

小心禁止URL中带有

+--+

的请求；这可能是合法的输入——也就是说，

+1如果我知道这是如此简单，我就不会投票将其移动到超级用户！谢谢看起来“=1'；+--+”将是一个更好的过滤器