SQL注入及XSS(跨站脚本)攻击防御技术方案.pdfVIP

SQL注入及XSS(跨站脚本)攻击防御技术方案 SQL注入 、、 什么是SQL注入 SQL注入：利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执 行的能力，这是SQL注入的标准释义。 SQL注入利用的是正常的HTTP服务端口，表面上看来和正常的web访问没有区别， 隐蔽性极强，不易被发现。 、、 SQL注入的危害 SQL注入的主要危害包括： 1、未经授权状况下操作数据中的数据 2、恶意篡改网页内容 3、私自添加系统账号或是数据库使用者账号 4、网页挂木马。 、、 SQL注入的方法 1. 没有正确过滤转义字符 在用户的输入没有为转义字符过滤时，就会发生这种形式的注入式攻击，它 会被传递 给一个SQL语句。这样就会导致应用程序的终端用户对数据库上的语句实施操 纵比方 说，下面的这行代码就会演示这种漏洞： statement := SELECT * FROM users WHERE name = + userName + ; 这种代码的设计目的是将一个特定的用户从其用户表中取出，但是，如果用户 名被一个恶意的用户用一种特定的方式伪造，这个语句所执行的操作可能就不 仅仅是代码的作者所期望的那样了。例如，将用户名变量(即usernam