SQL注入的攻击与防御（简单篇）

原理:SQL注入攻击值得是通过构建特殊的输入作为参数传入web应用程序，而这些输入大都是SQL语法里的一下组合，
通过执行SQL语句进执行攻击者所要的操作，其主要原因是程序没有细致的过滤用户输入的数据，致使非法数据侵入系统。

SQL注入的产生原因：
不当的类型处理，不安全的数据库配置，不合理的查询集处理，不当的错误处理，转义字符处理不合适，多个提交处理不当

SQL注入方法一般有两种：
方法一：采用直接猜表名和列名的方法或者是利用报错信息来确定表明和列名
And (Select count(*) from 要猜的表名)<>0
And (Select count(要猜的列名) from 已知的表名)<>0
注意：<>在sql中是不等于，结果若返回正确则猜的表名和列名是正确的

方法二：后台身份验证绕过漏洞
此方法利用的就是AND和OR的运算规则，从而造成后台脚本逻辑性错误
若后台的查询语句为sql='select admin from t_admin where user='request("user")' and passwd='request("user")';
但输入用户名密码若为 'or 'a'='a'，那么查询语句就变成了select admin from t_admin where user=''or 'a'='a' and passwd=''or 'a'='a';
这里就变成了四个查询语句即：假 or 真 and 假 or 真, 先算and再算or，就变成：假or 假 or真，结果为真，就能直接接入后台了。
不过要想用这种方法进行攻击，必须具备一个条件：是这种用户名和密码在一个查询语句中。或者可以 'or 1=1 -- (--为sql注释符)

简单的SQL注入防御方法：
1、首先要对输入的数据进行过滤，将常见的sql语句的关键词：select or ' " 等字符进行过滤。
2、对在数据库中对密码进行加密，验证登陆的时候先将密码进行加密再与数据库中加密的密码进行对比，若此时一致则基本是安全的。
3、对数据库中密码采用常用的MD5加密时尽量在字符串的前边和后边加上指定字符后在进行加密，这样即便是看到了数据库也很难破解密码。

后续通过深入的试验和理解会给出高级篇，有错误欢迎大家指正，一块学习！

SQL注入的攻击与防御（简单篇）相关推荐

tp中如何防止mysql注入_thinkphp如何防止sql注入xss攻击
SQL注入简介 SQL 注入漏洞(SQL Injection)是 Web 开发中最常见的一种安全漏洞.可以用它来从数据库获取敏感信息,或者利用数据库的特性执行添加用户,导出文件等一系列恶意操作,甚至有 ...
sql md5函数_【学习笔记】常见漏洞：SQL注入的利用与防御
第 21 课 SQL注入的利用与防御课程入口(付费) 个人背景李,本科,电子信息工程专业,毕业一年半,有JavaScript的,PHP,Python的语言基础,目前自学网络安全中. SQL ...
SQL注入教程——（三）简单的注入尝试
本文将以简单的SQL注入实例来讲解SQL注入的基本思路与流程,当然本文实例只是注入的一种情况,初学者应重点理解思路,学会举一反三. GET与POST 进行SQL注入攻击,大家还需要了解两种基本的 HT ...
TP5 框架防止 sql注入 + xss攻击 + session盗窃
话不多说直接上正餐: TP5 框架其实自身就舍友对sql注入以及xss攻击的防御 sql注入 + xss攻击位置 application/config.php // 默认全局过滤方法用逗号 ...
SQL注入及其危害、防御手段
一.什么是SQL注入 SQL(Structured Query Language),即结构化查询语言,用于操作关系型数据库管理系统.目前,大多数Web编程语言提供了操作SQL的接口,以方便与数据库进行 ...
sql注释符注入防御_WAF的SQL注入绕过手段和防御技术
一.关于SQL注入 SQL注入是一种常见的入侵WEB应用的手法.SQL注入是利用应用系统的编程漏洞和SQL语言的语法特征,改变原始的SQL语句执行逻辑而产生的. 攻击者向Web应用发送精心构造的输入数 ...
SQL注入法攻击一日通
随着B/S模式应用开发的发展,使用这种模式编写应用程序的程序员也越来越多.但是由于程序员的水平及经验也参差不齐,相当大一部分程序员在编写代码的时候,没有对用户输入数据的合法性进行判断,使应用程序存在安 ...
sql注入的攻击与利用
前言本文叙述了在Mysql.MSsql.Oracle.PostgreSQL平台下的sql注入探测方式与利用,作为个人笔记,没有框架以及中间件的参与. 文章的内容并不全面,日后有接触新的方法会有补充. ...
常见web攻击(sql注入,xss攻击,csrf攻击)
sql注入攻击危害方式:通过表单提交加入特殊字符如:' OR 1=1#' 防范:用django的ORM,就大可不必考虑这个问题, 如果自己写,要用正则和其他方式进行过滤 xss(Cross ...

SQL注入的攻击与防御（简单篇）

SQL注入的攻击与防御（简单篇）相关推荐

最新文章

热门文章