sql注入实验报告..docxVIP

实验报告 课程名称： SQL 注入 专 业： 班 级： 姓 名： 学 号： 指导教师： 2016 年3 月8 日 一、实验目的 1、掌握 SQL注入的基本概念。 2、掌握 SQL注入的总体思路。 3、掌握通过脚本访问网站数据库的基本方法。 二、实验原理 1、 SQL注入 SQL 是结构化查询语言的简称，它是访问数据库的事实标准。 SQL注入能使 攻击者绕过认证机制，完全控制远程服务器上的数据库。目前， 大多数 Web应用 都使用 SQL数据库来存放应用程序的数据。 几乎所有的 Web应用在后台都使用某 种 SQL数据库。跟大多数语言一样， SQL语法允许数据库命令和用户数据混杂在 一起的。如果开发人员不细心的话， 用户数据就有可能被解释成命令， 这样的话， 远程用户就不仅能向 Web应用输入数据，而且还可以在数据库上执行任意命令 了。 2、 SQL注入攻击的一般顺序是： ( 发现 SQL注入位置，判断后台数据库类型， 确定 XP_CMDSHELL可执行情 况，发现 WEB虚拟目录，上传 ASP木马，得到管理员权限。 3、 SQL注入攻击的防范方法： SQL 注入攻击防范方法目前已经有很多，总结起来有下面一些： （1） 在服务端正式处理之前对提交数据的合法性进行检查； （2） 封装客户端提交信息； （3） 替换或删除敏感字符 / 字符串； （4） 屏蔽出错信息。 （5）不要用字串