网站栏目模块山东省建设局网站

注入的介绍

SQL注入产生的原因 

随着B/S模式被广泛的应用，用这种模式编写应用程序的程序员也越来越多，但由于开发人员的水平和经验参差不齐，相当一部分的开发人员在编写代码的时候，没有对用户的输入数据或者是页面中所携带的信息进行必要的合法性判断，导致了攻击者可以提交一段数据库查询代码，根据程序返回的结果，获得一些他想得到的数据这样就产生了被称为数据库的注入攻击SQL注入攻击，
数据与代码未严格分离;用户提交的参数数据未做充分检查过滤即被代入到SQL命令中，改变了原有SQL命令的“语义”，且成功被数据库执行。
SQL命令可以进行查询、插入、删除等操作，直接将这些命令拼接起来。

SQL注入的危害

数据库信息泄漏:数据库中存放的用户的隐私信息的泄露。
网页篡改:通过操作数据库对特定网页进行篡改。
网站被挂马，传播恶意软件:修改数据库一些字段的值，嵌入网马链接，进行挂马攻击。
数据库被恶意操作:数据库服务器被攻击，数据库的系统管理员帐户被窜改。
服务器被远程控制，被安装后门。经由数据库服务器提供的操作系统支持，让黑客得以修改或控制操作系统。
破坏硬盘数据，瘫痪全系统。
一些类型的数据库系统能够让SQL指令操作文件系统，这使得SQL注入的危害被进一步放大。

SQL注入在渗透中的利用

绕过登录验证:使用万能密码登录网站后台等。
获取敏感数据:获取网站管理员帐号、密码等。
文件系统操作:列目录，读取、写入文件等。
注册表操作:读取、写入、删除注册表等。
执行系统命令:远程执行命令。

SQL注入实质就是闭合前一句查询语句，构造恶意语句，恶意语句被代入SQL语句执行。

如何挖掘SQL注入

常见的SQL注入流程

SQL注入漏洞分类

 哪些地方存在SQL注入

判断存在SQL的常用步骤 

如何判断是否存在SQL注入 

 SQL注入测试思路

盲注