如何做好防护SQL注入漏洞

发布时间:2020-08-05 00:42:12 作者:199cloud
来源:ITPUB博客 阅读:178

如何做好防护SQL注入漏洞【199cloud-艾娜】

1. SQL注入原理

漏洞形成原因:用户输入的数据被SQL解释器执行。

2. 常见的SQL注入类型分类

数字型 & 字符型,不管注入类型如何,攻击者的目的只有一点,那就是绕过程序限制,使用户输入的数据带入数据库执行,利用数据库的特殊性获取更多的信息或者更大的权限。

举个例子:
(1)在页面URL后面输入: user_id=1' and 1=1 order by 4 #
(2)加载页面,将url的参数传入后台,后台执行SQL语句为: SELECT first_name, last_name FROM users WHERE user_id = '1' and 1=1 order by 4 #'
(3)根据SQL语法可知, #号将后续的引号注释了。 order by是用来查询列数的,当字段数超过数据库的字段数,数据库就会返回错误信息,因此,可以利用 order by来猜测数据库的字段数。因此,如果熟悉SQL语句,就可以进一步写入更多的语句,查询数据库,导致隐私数据泄漏。

常见利用数据库注入目的:
(1)查询数据
(2)读写文件
(3)执行命令


【 防止SQL注入】

数据库并没有什么好的办法直接过滤SQL注入。只负责执行SQL语句,根据SQL语句来返回相关数据。
因此:防御SQL注入,还是得从代码入手。
根据SQL注入的分类,防御主要分为两种: 数据类型判断特殊字符转义

推荐阅读:
  1. DVWA亲测SQL注入漏洞
  2. 某shop后台sql注入漏洞

免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。

sql 做好 防护

上一篇:黑科技|小帮软件机器人援助公共政务系统消解“一网通办”棘手问题

下一篇:Oracle rac时间不同步

相关阅读

您好,登录后才能下订单哦!

密码登录
登录注册
其他方式登录
点击 登录注册 即表示同意《亿速云用户服务条款》