什么是SQL注入攻击？如何防止sql注入
2020-06-01 cfan 互联网
浏览
什么是SQL注入攻击
sql注入是一种将sql代码添加到输入参数中，传递到sql服务器解析并执行的一种攻击手法。
sql注入是如何产生的？
1.web开发人员无法保证所有的输入都已经过滤。
2.攻击者利用发送给sql服务器的输入数据构造可执行代码。
3.数据库未作相应的安全配置（对web应用设置特定的数据库账号，而不使用root或管理员账号，特定数据库账号给予一些简单操作的权限，回收一些类似drop的操作权限）。
sql注入攻击防御
1、使用参数化筛选语句
为了防止SQL注入，用户输入不能直接嵌入到SQL语句中。相反，用户输入必须被过滤或参数化。参数语句使用参数，而不是将用户输入嵌入语句中。在大多数情况下，SQL语句是正确的。然后，用户输入仅限于一个参数。
一般来说，有两种方法可以确保应用程序不易受到SQL注入攻击。一种是使用代码审查，另一种是强制使用参数化语句。强制使用参数化语句意味着在运行时将拒绝嵌入用户输入中的SQL语句。但是，目前对此功能的支持不多。
2、避免使用解释程序，这是黑客用来执行非法命令的手段。
3、防止SQL注入，但也避免一些详细的错误消息，因为黑客可以使用这些消息。标准的输入验证机制用于验证所有输入数据的长度、类型、语句和企业规则。
4、使用专业的漏洞扫描工具。
但是，防范SQL注入攻击是不够的。攻击者现在自动搜索和攻击目标。它的技术甚至可以很容易地应用于其他Web体系结构中的漏洞。企业应该投资于专业的漏洞扫描工具，如著名的Accunetix网络漏洞扫描程序。完美的漏洞扫描器不同于网络扫描器，它专门在网站上查找SQL注入漏洞。最新的漏洞扫描程序可以找到最新发现的漏洞。
5、最后，企业在Web应用程序开发过程的所有阶段执行代码安全检查。首先，安全测试应该在部署Web应用程序之前实现，这比以前更重要、更深远。企业还应在部署后使用漏洞扫描工具和站点监控工具测试网站。
