1.SQL注入-借尸还魂.pptxVIP

某房地产网站的管理员小张发现网站带上了Google小尾巴：“该网站可能含有恶意软件，有可能会危害您的电脑”。后经网络安全公司分析日志，发现了黑客的攻击走向，是一次非常典型的SQL注入攻击。

SQL注入漏洞攻击与防范

SQL全称结构化查询语言用来访问和操作数据库系统的

SQL注入利用Web应用程序数据层存在的输入验证不完善型安全漏洞提交精心构造的代码实现对数据库的非授权操作。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。

用户能够输入；程序原本要执行的代码，能够拼接用户输入的数据。0102它的本质是把用户输入的数据当作代码来执行

目录SQL注入漏洞的类型手工SQL注入测试SQL注入漏洞的防范010203

SQL注入漏洞的类型01

数字型注入输入的参数为整型，如：ID、年龄、页码等。这是最简单的一种。字符型注入输入的参数为字符串，它与数字型注入最大的区别在于：数字类型不需要单引号闭合，而字符串类型一般要使用单引号来闭合。

手工SQL注入测试02

手工SQL注入测试判断是否存在注入，注入是字符型还是数字型猜解SQL查询语句中的字段数确定回显位置获取当前数据库获取数据库中的表获取表中的字段名常规思路得到数据

手工SQL注入测试

手工SQL注入测试

手工SQL注入测试

手工SQL注入测试

手工SQL注入测试

手工SQ