计算机病毒与防护：SQL注入原理.ppt

单击此处添加标题 * * 目录页 SQL注入原理 SQL注入的原理 动态页面有时会通过脚本引擎将用户输入的参数按照预先设定的规则构造成SQL语句来进行数据库操作，SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，改变原有的SQL语句的语义来执行攻击者所要的操作，其主要原因是程序没有采用必要的措施避免用户输入内容改变原有SQL语句的语义。 存在SQL注入的风险 SQL注入的危害 获取敏感数据：获取网站管理员帐号、密码等。 文件系统操作：列目录，读取、写入文件等。 注册表操作：读取、写入、删除注册表等。 执行系统命令：远程执行命令。 绕过登录验证：使用万能密码登录网站后台等。 SQL注入的危害-绕过登录 某高校招聘录入系统登录框存在SQL注入漏洞： SQL注入的危害-数据盗取 智慧医疗安全之云信医疗主站存在SQL注入漏洞，涉及近500W+用户数据： SQL注入的分类 SQL注入测试方法 判断注入漏洞的依据是什么？ 根据客户端返回的结果来判断提交的测试语句是否成功被数据库引擎执行，如果测试语句被执行了，说明存在注入漏洞。 构造测试语句 提交请求 分析返回结果 符合预期结果