SQL注入攻击

    攻击者在HTTP请求中注入恶意的SQL命令，服务器用请求参数构造数据库SQL命令时，恶意SQL被一起构造，并在数据库中执行。如下图所示：     SQL注入攻击需要攻击者对数据库结构有所了解才能进行，攻击者获取数据库表结构信息的手段有如下几种： 开源     如果网站采用开源软件搭建，如用Discuz搭建论坛网站，那么网站数据库结构就是公开的，攻击者可以直接获得。 错误回显     如果网站开启错误回显，即服务器内部500错误会显示到浏览器上，攻击者通过故意构造非法参数，使服务端异常信息输出到浏览器端，为攻击者猜测数据库表结构提供了便利。 盲注     网站关闭错误回显，攻击者根据页面变化情况判断SQL语句的执行情况，据此猜测数据库表结构，此种方式攻击难度比较大。     防御SQL注入攻击首先要避免被攻击者猜测到表名等数据库表结构信息，此外还可以采用如下方式： 消毒     和放XSS攻击一样，请求参数消毒是一种比较简单粗暴又有效的手段。通过正则匹配，过滤请求数据中可能注入的SQL，如”drop table”等。 参数绑定     使用预编译手段，绑定参数是最好的防SQL注入方法。目前许多数据访问层框架，如IBatis，Hibernate等，都实现SQL预编译和参数绑定，攻击者的恶意SQL会被当做SQL的参数，而不是SQL命令被执行。