《Web安全程序设计与实践》课件项目4.pptxVIP

项目4数据库暴库——Get型注入攻击

【项目描述】本项目对Get型SQL注入攻击和防护进行实训。本项目包含了四个任务，首先建立数据库用于信息查询，然后开发一个基于Get型查询功能的网站，接下来利用Get型SQL注入实现数据库暴库，最后分析Get型SQL注入攻击的原理，提出并实现对Get型SQL注入攻击的防护。通过本项目实训，可以解释和分析Get型SQL注入漏洞对数据库进行暴库攻击的原理及危害，应用参数化查询功能实现Get型SQL注入攻击的防护。

【知识储备】HTMLGet方式参数提交原理Get型SQL注入攻击使用了HTML的Get提交信息方式。Get方式将表单中的数据按照“变量”=“值”的形式，使用“?”连接添加到action所指向URL的后面。如果有多个变量，各个变量之间使用“”连接。Get方式提交的表单只支持ASCII字符，非ASCII字符必须使用URL编码的方式传递，例如中文。另外一些特殊的字符也需要进行URL编码，如果“值”字符串中包含了=或者，必须将引起歧义的和=符号进行编码转义。URL编码的格式是用百分号加字符ASCII码的十六进制表示。

数据库暴库的原理数据库暴库是Get型SQL注入的常用攻击。暴库就是通过数据库的SQL注入等漏洞得到数据库的内容。Get方式的参数提交多用于数据库的查询操作，并在页面显示查询结果。因此，常常可以利用Get方式查询数据库实现暴库。数据