A1-注入

1、注入
    包括SQL、LDAP、Xpath、NoSQL查询语句；OS命令；XML解析器、SMTP头、程序参数等。

2、原因
    直接拼接用于提交的参数到查询语句或命令中。

3、危害
    数据被窃取、数据篡改、DOS、脱裤等。

4、发现
    是否将有害数据和命令、查询分离。
    通过源码检查来发现问题，通过渗透测试来验证漏洞。
    不合理的错误处理有助于注入漏洞的发现。
    
5、防护
    分离有害数据和命令、查询语句。
    安全API：预处理语句、存储过程等参数化方法。
    过滤、编码特殊字符。

    白名单（允许用户输入任意字符的场景除外）。