sql注入学习总结

一.什么是sql注入？

sql注入是一种将sql代码添加到输入参数中，传递到sql服务器解析并执行的一种攻击手法。

 

二.如何预防sql注入？

产生：1.web开发人员无法保证所有的输入都已经过滤

             2.攻击者利用发送给sql服务器的输入数据构造可执行的sql代码

             3.数据库未做相应的安全配置

预防：1.严格检查输入变量的类型和格式

            2.过滤和转译字符（mysqli_set_charset(),addslashes()）

            3.利用mysql预编译机制 

 

三.如何寻找sql注入？

1.借助逻辑推理

识别web应用中所有输入点

了解哪些类型的请求会触发异常

检测服务器响应中的异常

 

四.如何进行sql注入攻击？

1.数字注入

2.字符串注入