COMPANY NEWS 公司新闻
Industry News 行业新闻
深圳网站建设公司如何查明SQL注入漏洞
发布时间：2014-6-30 22:00:43 |
浏览次数： | 来源：深圳市方与圆网络科技有限公司
深圳建站公司在比较明显的情形中，只需向应用程序提交一个意外的输入，就可以发现并最最终确定一个SQL注入漏洞。在其他情况下，这种缺陷可能非常微妙，很难与其他类型的漏洞或不会造成安全威胁的“良性”异常区分开来。但是，可以按顺序来采取各种步骤查明大多数的SQL注入漏洞。
1.注入字符串数据
如果SQL查询和并用户提交的数据，它会将这些数据保护在单引号中。为利用任何SQL注入漏洞，攻击者需要摆脱这些引号的束缚。
2.注入数字数据
如果SQL查询合并用户提交的数字数据，应用程序仍然会将它包含在单引号之中，作为字符串数据进行处理。因此，一定要执行前面描述的针对字符串数据的渗透测试步骤。但是，许多时候，应用程序将会对数字数据以及数字格式直接传送到数据库中，并不把它放入单引号中。
3.注入查询结构
如果用户提交的数据被插入SQL查询结构，而不是查询中的数据项中，这时实施SQL注入攻击只需要直接应用程序有效的SQL语法，而不需要进行任何“转义”。SQL查询结构中常见的注入点是ORDER BY子句。ORDER BY的关键字接受某个列名称或编号并根据该列中的值对结果惊喜排序。
1.注入字符串数据
如果SQL查询和并用户提交的数据，它会将这些数据保护在单引号中。为利用任何SQL注入漏洞，攻击者需要摆脱这些引号的束缚。
2.注入数字数据
如果SQL查询合并用户提交的数字数据，应用程序仍然会将它包含在单引号之中，作为字符串数据进行处理。因此，一定要执行前面描述的针对字符串数据的渗透测试步骤。但是，许多时候，应用程序将会对数字数据以及数字格式直接传送到数据库中，并不把它放入单引号中。
3.注入查询结构
如果用户提交的数据被插入SQL查询结构，而不是查询中的数据项中，这时实施SQL注入攻击只需要直接应用程序有效的SQL语法，而不需要进行任何“转义”。SQL查询结构中常见的注入点是ORDER BY子句。ORDER BY的关键字接受某个列名称或编号并根据该列中的值对结果惊喜排序。
