SQL防注入的小问题？？？

l171147904 2010-01-29 09:20:44

一个网站！
我登入名和密码都输入： ' or 1=1 --

提示：用户\' or 1=1 --不存在

网站地址：http://bbs.darkml.cn/login.php

谁知道，它怎么防注入的？可破解？

...全文

105 4 打赏收藏转发到动态举报

写回复

4 条回复

切换为时间正序

请发表友善的回复…

发表回复

CqCoder 2010-01-29

打赏
举报

回复

1、屏蔽SQL关键字
2、使用存储过程，利用参数传值

lzsh0622 2010-01-29

打赏
举报

回复

SQL执行时,参数是作为一个整体解释的(即:其中的内容不会发生解析出关键字的现象).
用字符串(不用参数)拼成什么样子的语句,就执行什么样的语句。

l171147904 2010-01-29

打赏
举报

回复

参数执行是提示这个？

huwei12345 2010-01-29

打赏
举报

回复

用参数来执行的呗~要是这样基本不好破解吧？

大名鼎鼎的SQL注入工具包，有兴趣的朋友可以下载对网站的sql漏洞进行扫描测试，反对对网站进行攻击。

⭐ 前言 ⭐本篇文章主要介绍什么是预处理？防sql注入的原理？使用预处理防止SQL被恶意注入简单知识以及部分理论知识 SQL注入是指攻击者通过在Web应用程序中注入恶意SQL代码，从而导致数据库执行恶意的SQL语句。为了防止SQL注入，可以采用以下原理：在以上示例中，使用了 ' 任意值 ' or '1'='1' 的方法恶意注入了SQL语句，恶意用户输入 '任意值' or '1'='1'，进行对SQL语句注入从而影响最终结果。

SQL注入攻击是一种针对数据库驱动的应用程序的攻击技术，其中攻击者通过在应用程序的输入字段中插入或“注入”恶意的SQL代码，试图非法访问、操作或破坏后端数据库。当应用程序不正确地处理用户输入，并将其直接拼接到SQL查询中时，就可能发生这种攻击。恶意的SQL代码是指在应用程序中执行的具有恶意目的的SQL语句。以下是一些可能的恶意SQL代码的例子：SQL注入攻击：攻击者通过在应用程序输入框中注入恶意的SQL代码，从而可以访问和修改数据库中的数据。

本文主要针对SQL注入的含义、以及如何进行SQL注入和如何预防SQL注入让小伙伴有个了解。适用的人群主要是测试人员，了解如何进行SQL注入，可以帮助我们测试登录、发布等模块的SQL攻击漏洞，至于如何预防SQL注入，按理说应该是开发该了解的事情~但是作为一个棒棒的测试，搞清楚原理是不是能让我们更加透彻地理解bug的产生原因呢~好啦，话不多说，进入正题~ 如何理解SQL注入（攻击）？ SQL注入是

SQL注入是一种广泛存在的网络安全攻击手段，它利用了应用程序对用户输入数据的验证不足，使得攻击者能够在应用程序的输入字段中插入恶意的SQL代码片段，从而非法获取、篡改或删除数据库中的数据。随着互联网的快速发展，SQL注入攻击已成为网络安全领域的一大威胁，特别是在Web应用程序中，由于其与用户交互的频繁性，更容易成为SQL注入攻击的目标。SQL注入的原理是通过在应用程序的输入字段中插入恶意的SQL代码片段，使得应用程序在构建SQL查询语句时将这些代码片段包含在内，从而执行攻击者指定的恶意操作。

111,092

社区成员

642,554

社区内容

发帖

与我相关

我的任务

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

让您成为最强悍的C#开发者

试试用AI创作助手写篇文章吧

+ 用AI写文章