什么叫做SQL注入式攻击，如何防范？
所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串中，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造（或者影响）动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。
防范SQL注入式攻击闯入并不是一件特别困难的事情，只要在利用表单输入的内容构造SQL命令之前，把所有输入内容过滤一番就可以了。过滤输入内容可以按多种方式进行。
● 替换单引号，即把所有单独出现的单引号改成两个单引号，防止攻击者修改SQL命令的含义。
● 删除用户输入内容中的所有连字符，防止攻击者顺利获得访问权限。
● 对于用来执行查询的数据库账户，限制其权限。用不同的用户账户执行查询、插入、更新、删除操作。由于隔离了不同账户可执行的操作，因而也就防止了原本用于执行SELECT命令的地方却被用于执行INSERT、UPDATE或DELETE命令。
● 用存储过程来执行所有的查询。SQL参数的传递方式将防止攻击者利用单引号和连字符实施攻击。此外，它还使得数据库权限可以被限制到只允许特定的存储过程执行，所有的用户输入必须遵从被调用的存储过程的安全上下文，这样就很难再发生注入式攻击了。
● 检查用户输入的合法性，确信输入的内容只包含合法的数据。数据检查应当在客户端和服务器端都执行。之所以要执行服务器端验证，是为了弥补客户端验证机制脆弱的安全性。在客户端，攻击者完全有可能获得网页的源代码，修改验证合法性的脚本（或者直接删除脚本），然后将非法内容通过修改后的表单提交给服务器。因此，要保证验证操作确实已经执行，唯一的办法就是在服务器端也执行验证。
● 将用户登录名称、密码等数据加密保存。加密用户输入的数据，然后再将它与数据库中保存的数据比较，这相当于对用户输入的数据进行了“消毒”处理。用户输入的数据不再对数据库有任何特殊的意义，从而也就防止了攻击者注入SQL命令。
● 检查提取数据的查询所返回的记录数量。如果程序只要求返回一个记录，但实际返回的记录却超过一行，那就当做出错处理。
什么叫做SQL注入式攻击，如何防范？相关推荐
- 什么是SQL注入式攻击 如何防范
一.什么是SQL注入式攻击? 所谓SQL注入式攻击,就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串,欺骗服务器执行恶意的SQL命令.在某些表单中,用户输入的内容直接用来构造(或者 ...
- 安全交流：浅谈sql注入式(SQL injection)攻击与防范
没有系统的学习过asp或者php编程,也没有系统的学习过access.sqlserver.mysql等数据库,所以我不是一个程序员,虽然经常干一些类似程序员的事情. 因为要建立自己的站点,3次改版下来 ...
- ASP.NET中如何防范SQL注入式攻击
1将sql中使用的一些特殊符号,如' -- /* ; %等用Replace()过滤: 2限制文本框输入字符的长度: 3检查用户输入的合法性:客户端与服务器端都要执行,可以使用正则. 4使用带参数的SQ ...
- Sql注入式攻击和一些防范技巧
这篇文章原文出自www.codeproject.com,因个人喜欢,做了点翻译,但是本人英语水平实在太菜,翻译中可能错误百出,如果误导大家,实在抱歉.所以建议大家还是去看原版,地址为:http://w ...
- 【转载】防范SQL注入式攻击
SQL注入式攻击是利用是指利用设计上的漏洞,在目标服务器上运行Sql命令以及进行其他方式的攻击动态生成Sql命令时没有对用户输入的数据进行验证是Sql注入攻击得逞的主要原因. 比如: 如果你的查询语句 ...
- 防范sql注入式攻击(Java字符串校验，高可用性)
什么是SQL注入攻击? 所谓SQL注入,就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令.具体来说,它是利用现有应用程序,将(恶意)的S ...
- [ZT]ASP.NET中如何防范SQL注入式攻击
所谓SQL注入式攻击,就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串,欺骗服务器执行恶意的SQL命令.在某些表单中,用户输入的内容直接用来构造(或者影响)动态SQL命令,或作为存 ...
- 防范SQL注入式攻击
SQL注入式攻击是利用是指利用设计上的漏洞,在目标服务器上运行Sql命令以及进行其他方式的攻击动态生成Sql命令时没有对用户输入的数据进行验证是Sql注入攻击得逞的主要原因. 比如: 如果你的查询语句 ...
- 什么是SQL注入式攻击！如何防范SQL注入式攻击？
1.所谓SQL注入式攻击,就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串,欺骗服务器执行恶意的SQL命令. 2.在某些表单中,用户输入的内容直接用来构造(或者影响)动态SQL命令 ...
最新文章
- grpc_模型服务：流处理与使用Java，gRPC，Apache Kafka，TensorFlow的RPC / REST
- HDOJ1216 Assistance Required 打表
- bzoj2653: middle
- Mysql数据备份恢复及主从同步
- 研究生计划-心得征程
- MySQL 性能优化 分布式
- linux 串口 read 超时,请教linux串口问题！read读取时buf里只读取到8的倍数？
- Windows Server 2008关闭internet explorer增强的安全配置
- 如何学习嵌入式Linux_韦东山
- 用于黑客渗透测试的 21 个最佳 Kali Linux 工具
- 自己动手——快速搭建Java应用服务器
- C#人民币金额大写转换
- 一键加速,华为云CDN加速满足多行业需要
- java里异常名词解释_java名词解释
- 夺宝答题王小程序完整源码(含前端/后端以及数据库脚本)
- 2022.1.25复盘
- HTTP协议之GET与POST区别
- Java核心类库(一)
- vsftp不允许切换到其它目录_AutoCAD效率革命之四——自动切换输入法
- HDU 1208（Pascal's Travels）