利用現有應用程式，將（惡意）的sql命令注入到後台資料庫執行一些惡意的操作
程式開發過程中不注意規範書寫sql語句和對特殊字元進行過濾，導致客戶端可以通過全域性變數post和get提交一些sql語句正常執行。
嚴格限制web應用的資料庫的操作許可權，給此使用者提供僅僅能夠滿足其工作的最低許可權，從而最大限度的減少注入攻擊對資料庫的危害
檢查輸入的資料是否具有所期望的資料格式，嚴格限制變數的型別
對進入資料庫的特殊字元進行轉義處理，或編碼轉換。
sql語句書寫盡量不要省略小引號和單引號
過濾掉sql語句中的一些關鍵字：update、insert、delete、select、*
提高資料庫表和字段的命名技巧，對一些重要的字段根據程式的特點命名，取不易被猜到的
控制錯誤資訊，不在瀏覽器上輸出錯誤資訊，將錯誤資訊寫到日誌檔案中
使用mysqli類和do 類對sql語句進行預處理操作
sql注入檢測工具進行檢測，及時修補sql注入漏洞
SQL注入（三） sql注入 bugku
原理 mysql 在使用 gbk 編碼的時候，會認為兩個字元為乙個漢字，例如 aa 5c 就是乙個 漢字 前乙個 ascii碼大於 128 才能到漢字的範圍 我們在過濾 的時候，往往利用的思 路是將 轉換為 換的函式或者思路會在每一關遇到的時候介紹 因此我們在此想辦法將 前面新增的 除掉，一般有兩種...
SQL注入 報錯注入
乙個帶get引數的 並且不從資料庫返回資料，但存在報錯資訊 檢視字段情況 報錯注入語句格式 and 1 2 union select1,2,3 from select count concat floor rand 0 2 sql語句 a from information schema.tables...
SQL注入 報錯注入
sql注入基礎 盲注 用於注入結果無回顯但錯誤資訊有輸出的情況 floor函式 返回小於等於某值的整數,例如floor 1 則返回1,floor 1.9 也返回1 rand函式 生成隨機數.可指定seed,指定後每次生成的數都一樣即偽隨機,不指定seed則每次生成的隨機數都不一樣.通過floor和r...