渗透测试手册-WEB安全漏洞.pdfVIP

WEB安全漏洞

1.SQL注入漏洞

漏洞描述

  Web程序代码中对于用户提交的参数未做过滤就直接放到SQL语句中执

行，导致参数中的特殊字符打破了SQL语句原有逻辑，黑客可以利用该漏洞执

行任意SQL语句，如查询数据、下载数据、写入webshell、执行系统命令以

及绕过登录限制等。

测试方法

  在发现有可控参数的地方使用sqlmap进行SQL注入的检查或者利用，

也可以使用其他的SQL注入工具，简单点的可以手工测试，利用单引号、and

2026

1=1和and1=2以及字符型注入进行判断！推荐使用burpsuite的sqlmap插

件，这样可以很方便，鼠标右键就可以将数据包直接发送到sqlmap里面进行检

测了！

修复建议

  代码层最佳防御sql漏洞方案：采用sql语句预编译和绑定变量，是防御