sql server 2008 R2 注入漏洞 sql注入漏洞位置

转载

mob6454cc70eddf 2024-05-15 13:50:09

文章标签 网络 SQL 数据库数据 文章分类 SQL Server 数据库

文章目录

一、SQL注入漏洞[OWASP TOP 1]
二、SQL注入的位置
三、常见的防范方法
四、sql注入的危害

一、SQL注入漏洞[OWASP TOP 1]

所谓SQL注入，就是通过把SQL命令插入到Web表单中**[此处涉及到sql注入的点]**提交最终达到欺骗服务器执行恶意的SQL命令。
具体来说，它是利用现有的web应用程序，将（恶意的）SQL命令注入到后台数据库引擎，它可以通过在Web表单中输入（恶意）
SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句.

二、SQL注入的位置

通常情况下，SQL注入的位置包括：
（1）表单提交，主要是POST请求，也包括GET请求；
（2）URL参数提交，主要为GET请求参数；
（3）Cookie参数提交；
（4）HTTP请求头部的一些可修改的值，比如Referer、User_Agent等；
（5）一些边缘的输入点，比如.mp3文件的一些文件信息等。

三、常见的防范方法

（1）所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。当前几乎所有的数据库系统都提供了参数化SQL语句执行接口，使用此接口可以非常有效的防止SQL注入攻击。
（2）对进入数据库的特殊字符（’”<>&*;等）进行转义处理，或编码转换。
（3）确认每种数据的类型，比如数字型的数据就必须是数字，数据库中的存储字段必须对应为int型。
（4）数据长度应该严格规定，能在一定程度上防止比较长的SQL注入语句无法正确执行。
（5）网站每个数据层的编码统一，建议全部使用UTF-8编码，上下层编码不一致有可能导致一些过滤模型被绕过。
（6）严格限制网站用户的数据库的操作权限，给此用户提供仅仅能够满足其工作的权限，从而最大限度的减少注入攻击对数据库的危害。
（7）避免网站显示SQL错误信息，比如类型错误、字段不匹配等，防止攻击者利用这些错误信息进行一些判断。
（8）在网站发布之前建议使用一些专业的SQL注入检测工具进行检测，及时修补这些SQL注入漏洞。