《Web安全程序设计与实践》课件项目3.pptxVIP

项目3万能密码登录——Post型注入攻击

【项目描述】本项目对Post型SQL注入攻击和防护进行实训。本项目包含四个任务，首先建立建立用户信息数据库，然后开发一个基于Session验证的用户登录功能网站，并在网页表单使用Post的方式提交用户参数。接下来实现基于SQL注入方式的万能密码登录。最后通过分析万能密码SQL注入的原理，实现对Post型SQL注入攻击的多种防护方式。通过本项目的实训，可以解释和分析万能密码登录漏洞为例子的Post型SQL注入原理及危害，应用多种方式实现SQL注入攻击的防护。

【知识储备】HTML的Post与Get提交信息方式Post型SQL注入攻击使用了HTML的Post提交信息方式。在HTML中，经常会用表单form进行信息的收集，然后提交给服务器进行处理。HTML提交信息的方式有Get和Post两种。Get方式Post方式在URL显示表单参数的key/value值不在URL里显示表单的数据长度有限制，只适合有少量参数的表单表单提交的信息没有长度限制历史参数保留在浏览器历史中参数不会保存在浏览器历史中可以通过保留URL的方式保存数据不能通过保留URL保存数据刷新不会重新提交刷新会重新提交表单的数据集的值必须为ASCII字符没有限制表3?1Post方式与Get方式的主要区别

Session机制的原理HTTP协议是无状态的，也就是说，客户端的每个HTTP