SQL注入—如何获知后台数据库是否存在注入漏洞

SQL注入—如何获知后台数据库是否存在注入漏洞（本文仅供学习或参考）

实验准备：

1. 皮卡丘靶场—SQL Injection（字符型注入，搜索型注入，xx型注入）

实验步骤：

1. 判断输入框中需要输入的字符类型，因此闭合语句不是单引号’，就是双引号"。
   select email from table where username = ‘xxx’;
   
   因此在测试的时候，可以先尝试使用双引号"做闭合aaa"or 1=1#，如果不成功，再使用单引号aaa’ or 1=1#
   
   

2. 查看报错机制：输入一个单引号’，来查看其报错的内容：
   
   
   有一个数据库语法错误，在单引号" ’ "处。证明我们输入的内容被拼接到SQL语法中，但是有造成了语法错误。通过报错我们知道，这里存在SQL注入漏洞。

3. 无论是何种类型的注入，其本质都是SQL语句进行闭合测试，构造合法的SQL语句来欺骗后台。