[漏洞篇] SQL注入漏洞详解

📝 面试求职： 「面试试题小程序」 ，内容涵盖 测试基础、Linux操作系统、MySQL数据库、Web功能测试、接口测试、APPium移动端测试、Python知识、Selenium自动化测试相关、性能测试、性能测试、计算机网络知识、Jmeter、HR面试，命中率杠杠的。（大家刷起来…）

📝 职场经验干货：

软件测试工程师简历上如何编写个人信息（一周8个面试）

软件测试工程师简历上如何编写专业技能（一周8个面试）

软件测试工程师简历上如何编写项目经验（一周8个面试）

软件测试工程师简历上如何编写个人荣誉（一周8个面试）

软件测试行情分享（这些都不了解就别贸然冲了.）

软件测试面试重点，搞清楚这些轻松拿到年薪30W+

软件测试面试刷题小程序免费使用（永久使用）

---

把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

通过构造恶意的输入，使数据库执行恶意命令，造成数据泄露或者修改内容等，以达到攻击的目的。主要是由于应用程序对用户的输入没有进行严格的过滤而造成的。

基础知识

判断注入方式

按照参数类型分为：数字型/字符型

按照注入方式分为：

• 联合注入

• 报错注入

• 延时注入

• 布尔盲注

这里主要介绍常见的几种注入，其他的注入还包括：宽字节注入、Cookie注入等，详细可查看：https://www.freebuf.com/articles/web/339118.html

按照参数类型分：

1. 数字型：引号 - 永真 - 永假

当输入的参数为整形时，如果存在注入漏洞，可以认为是数字型注入。

测试步骤：

• （1） 加引号(单引号/双引号)，URL：www.text.com/text.php?id=3’对应的sql：select * from table where id=3’ 这时sql语句出错，程序无法正常从数据库