常见漏洞危害及定义培训资料.pdfVIP

一、 Web服务端安全 SQL注入攻击 名词解释： SQL注入攻击（ SQL Injection ），简称注入攻击、 SQL注入，被广泛用于非法获取网站 控制权，是发生在应用程序的数据库层上的安全漏洞。由于在设计程序时，忽略了对 输入字符串中夹带的 SQL指令的检查，被数据库误认为是正常的 SQL指令而运行，从 而使数据库受到攻击，可能导致数据被窃取、更改、删除，甚至执行系统命令等，以 及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。 常见发生位置： 1） URL 参数提交，主要为 GET请求参数； 2 ） 表单提交，主要是 POST请求，也包括 GET请求； 3 ） Cookie 参数提交； 4 ） HTTP 请求头部的一些可修改的值，比如 Referer 、User_Agent 等； 5 ） 一些边缘的输入点，比如 .mp3、图片文件的一些文件信息等。 防御措施： 1） 使用预编译语句。一般来说，防御 SQL注入的最佳方式，就是使用预编译语句， 绑定变量，但对现有代码的改动量较大； 2 ） 使用存储过程。使用安全