大学课程《电力行业信息安全与攻防技术》教学PPT课件：[3.3.2]报错注入.pptxVIP

报错注入

任务导入任务目标任务讲解任务总结

报错注入技术

攻击者注入恶意SQL时，数据库返回的错误信息可能暴露表名、字段甚至用户密码这类漏洞可能让电网配置、用户数据或控制指令被窃取报错注入技术

updatexml()floor()extractvalue()

任务导入任务目标任务讲解任务总结

知识目标能力目标素养目标掌握报错注入的概念及工作原理能够撰写三类报错注入的函数培养风险意识，将安全第一原则融入开发全生命周期

任务导入任务目标任务讲解任务总结

Pikachu靶场实例

报错注入的概念报错注入(Error-basedSQLInjection)是一种常见的SQL注入攻击技术。Web应用程序在处理恶意输入时产生的错误信息来获取数据库中的信息。数据库在执行恶意注入代码时,如果出现语法错误或其他异常,会返回特定的错误信息,从而暴露数据库的结构与内容。

报错注入通常发生在未经适当处理和过滤用户输入的Web应用程序中攻击者会在输入字段中注入恶意SQL代码，使得Web应用程序在与数据库交互时发生错误，进而泄露敏感数据或者获取系统权限。报错注入的概念

报错注入的函数（1）updatexml()报错注入中的updatexml()是MySQL数据库中的一个函数，用于在更新数据时修改XML类型的数据字段。当updatexml()函数用于恶意注入时，它可以成为一种危险的工具，导致数据库的数据泄露或损坏