某校园网站的安全性分析.pdfVIP

2011 年第4 期 某校园网站的安全性分析 文/ 图 caojingtian 1) 搜索型注入 出于习惯，每当看到有数字型的参数或搜索框时，总会测试下有没有SQL 注入。今天 逛某个学校的网站时就碰到了一个SQL 注入。是搜索型的，它的测试方法为： 待搜索的字符串%’ and 1=1 and ‘%’ =‘ 待搜索的字符串%’ and 1=2 and ‘%’ =‘ 如果两者返回不一致，十有八九就有漏洞了。如图1 所示： 线 处 防 出 客 明 黑 注 图1. 搜索型sql 注入