SQL注入漏洞解决心得

一、SQL注入是怎么产生的？

1、对用户输入的参数没有进行过滤，比如：单双引号、<>,这些会被当做参数带到数据库执行，导致SQL注入

2、使用字符拼接的方式构造SQL语句，比如：id='%d' and name='%s'%(id,name)

3、替换，比如常见的or 1=1，利用1=1为true注释后面参数，成功跳过验证

二、SQL注入有哪些危害

1、攻击者未经授权可访问数据库中的数据，盗取用户信息，造成用户数据泄露。

2、对数据库进行增删改查操作，导致权限模糊或丢失

3、可植入木马，篡改数据等

三、SQL注入的一些防范和修补建议：

1、授予影用程序所需最小数据库访问权限

2、不要使用简单的字符串连接创建动态SQL查询。

3、多层验证，访问者需要多重验证才能进入系统

4、漏洞扫描，可以防范SQL注入攻击

【怀着学习的态度第一次分享，本人也知道有很多不足的地方，欢迎大家建议修改指正。】