2021xx0326 袁卓霞 SQL注入实验报告.docx

SQL注入实验报告 一、实验综述 本实验报告的目的是掌握 SQL 注入攻击过程、web 服务的工作机制和 SQL 注入攻击的防范措施。通过本实验，我们可以了解 SQL 注入漏洞的原理和防范方法，并掌握 Web 服务的工作机制。 二、实验内容与原理 SQL 注入漏洞是攻击者将 SQL 命令插入到 Web 表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的 SQL 命令。 SQL 注入攻击可以通过在 Web 表单中输入 SQL 语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行 SQL 语句。 在本实验中，我们使用了 VMware 虚拟机软件、Windows 操作系统、phpstudy 软件和 DVWA 软件来模拟 SQL 注入攻击。我们首先安装了 VMware 虚拟机软件，然后在虚拟机上安装了 Windows 操作系统。接着，我们下载安装了 phpstudy 软件，并将 DVWA 软件解压后拷贝到 phpStudy 的 www 目录下。 在实验中，我们设置了网络配置，并使用 phpStudy 启动 Apache 和 MySQL 服务器。然后，我们使用 SQL 注入攻击来获取数据库中的信息。我们输入了查询字符串 "1=1or1=1"，并猜测后台应用程序将其看做了字符型。接着，我们输入了 "1' or '1'='1"，结果遍历出了数据库中的所有内容。 三、实验过程 在实验过程中，我们首先安装了 VMware 虚拟机软件，然后下载安装了 Windows 操作系统。在虚拟机上，我们安装了 phpstudy 软件，并将 DVWA 软件解压后拷贝到 phpStudy 的 www 目录下。然后，我们设置了网络配置，并使用 phpStudy 启动 Apache 和 MySQL 服务器。 在实验中，我们使用了 SQL 注入攻击来获取数据库中的信息。我们输入了查询字符串 "1=1or1=1"，并猜测后台应用程序将其看做了字符型。接着，我们输入了 "1' or '1'='1"，结果遍历出了数据库中的所有内容。我们继续测试了 "1'orderby1--"、"1'orderby2--" 和 "1'orderby3--"，并记录了实验结果。 四、结果讨论与分析 在本实验中，我们了解了 SQL 注入漏洞的原理和防范方法，并掌握了 Web 服务的工作机制。我们发现，SQL 注入攻击可以通过在 Web 表单中输入 SQL 语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行 SQL 语句。 在实验中，我们使用了参数化查询接口来防止 SQL 注入攻击。我们发现，所有的查询语句都使用数据库提供的参数化查询接口，并且参数化语句使用参数，而不是将用户输入变量嵌入 SQL 语句中。 五、结论 通过本实验，我们掌握了 SQL 注入攻击过程、web 服务的工作机制和 SQL 注入攻击的防范措施。我们了解了 SQL 注入漏洞的原理和防范方法，并掌握了 Web 服务的工作机制。我们发现，使用参数化查询接口可以有效地防止 SQL 注入攻击。 六、指导教师评语及成绩评语 指导教师评语：该生实验报告中的实验操作步骤完整，能够按照要求完成实验内容，能够将知识很好的运用到实验中。该生的实验目的明确，实验设计合理，实验报告排版整齐。 成绩评语：中等（优秀 良好 及格） 指导教师签名： 2023 年 10 月 16 日