常见漏洞其解决方法.docVIP

漏洞扫描报告 第 PAGE2页,共NUMPAGES2页 资料 常见漏洞及其解决方案 SQL注入漏洞 漏洞描述： SQL注入被广泛用于非法入侵网站服务器，获取网站控制权。它是应用层上的一种安全漏洞。通常在设计存在缺陷的程序中，对用户输入的数据没有做好过滤，导致恶意用户可以构造一些SQL语句让服务器去执行，从而导致数据库中的数据被窃取，篡改，删除，以及进一步导致服务器被入侵等危害。 SQL注入的攻击方式多种多样，较常见的一种方式是提前终止原SQL语句，然后追加一个新的SQL命令。为了使整个构造的字符串符合SQL语句语法，攻击者常用注释标记如“-- ”（注意空格）来终止后面的SQL字符串。执行时，此后的文本将被忽略。如某个网站的登录验证SQL查询代码为strSQL = SELECT * FROM users WHERE name = ‘” + userName + “’ and pw =’” + passWord +”’”， 其中userName和passWord是用户输入的参数值，用户可以输入任何的字符串。如果用户输入的userName=admin’-- ，passWord为空，则整个SQL语句变为SELECT * FROM users WHERE name=’admin’-- ‘ and pw=’’，等价于SELECT * FROM us