『网络安全科普』SQL注入攻击为何物？

前言

2011年3月27日，声称来自罗马尼亚Slacker.Ro的TinKode和Ne0h的一份冗长列表出现在了Pastebin网站上，列表包括几个关键的用户名，如"sys"和"sysadmin"，还包括它们被破解的相应密码。

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

MySQL网站，包括几个WordPress博客，遭遇到了严重的入侵事件，而攻击者TinKode和Ne0h所采用的，便是SQL盲注攻击手法。可以说，这次入侵事件完全是由一个SQL注入漏洞所引起的。

那么，SQL注入攻击为何物呢？

SQL注入（SQL injection）攻击，是发生于应用程序与数据库层的安全漏洞。指的是用户是在输入的字符串之中注入SQL指令，进而发动攻击的行为。

如果在程序当中忽略了对用户输入字符的检查，则很有可能使得攻击者恶意注入的指令被数据库误认为是正常的SQL指令而运行，进而使得系统遭到破坏或者是入侵。

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

例如上图中的车牌号，如果被摄像头拍到且将其转成文本后并且插入数据库时，那么未作防护的系统便有可能将其当作正常的SQL指令而运行，于是SQL注入攻击便发生了（如中的DROP指令指的是删除数据库中的某某表）。

当然啦，当前交警系统的电子眼以及数据库系统是非常智能的，上图这种所谓的“技术含量遮挡”是不可能逃过法律制裁的。

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

攻击原理

注入攻击的本质，是把用户输入的数据误当作了代码来执行。之前讲过的XSS攻击在本质上也属于是一种针对HTML的注入攻击。注入攻击能够得以实施的两个关键条件在于：

• 用户能够控制输入，或者说需要用户提供部分输入数据
• 用户提供的输入数据和原本程序要执行的代码进行了拼接

第二步拼接的过程极为关键，正是这个步骤导致了注入的发生。

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

攻击过程

当我们访问动态网页时, web服务器会向数据访问层发起SQL查询请求，如果权限验证通过就会执行Sql语句，而很多时候这类SQL查询请求并不是固定的格式，而是要结合用户的输入数据来动态构造的。

如果用户故意输入恶意构造的SQL代码，而某些程序中又恰好编写了不安全的代码、对于变量处理不当，或者是没有对当前用户提交的数据类型进行校验，以及未对动态构造的SQL语句使用的参数进行审查，则都有可能使得非法分子构造非法的SQL语句或字符串，进而造成SQL注入攻击。

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

如果某网站验证登录信息如下：

strSQL = "SELECT * FROM users WHERE (name = '" + userName + "') and (pw = '"+ passWord +"');"

正常用户填入自己的用户名(userName )和密码之后(passWord )，系统会查询其用户名与密码是否对应来判断登录成功与否。

但如果恶意填入下列内容

userName = "1' OR '1'='1"
passWord = "1' OR '1'='1"

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

则系统查询的SQL字符串将被填为：

strSQL = "SELECT * FROM users WHERE (name = '1' OR '1'='1') and (pw = '1' OR '1'='1');"

其中判断语句『name = ‘1’ OR ‘1’=‘1’』与『pw = ‘1’ OR ‘1’=‘1’』的结果都恒为True，那么实际系统执行的语句为：

strSQL = "SELECT * FROM users;"

也就是说，只要稍微修改输入，则可以实现无账号密码登录系统后台或网站。本该严谨的身份验证，变成了一场黑客的填空游戏。

总之，只要是带有参数的动态网页，且此网页访问了数据库，那么就有可能存在SQL注入。

上述的例子，存在很多的问题，例如未对特殊字符做过滤，未限制用户参数长度，直接比较明文密码等等，只是简单地举个例子来方便理解。

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

小感想

实施一次完整的SQL注入攻击，有很多的方法和技巧可言，例如应对错误回显关闭的盲注技巧，利用webshell或者用户自定义函数UDF来执行命令，以及攻击存储过程等。

有些攻击方式是平常人很难想到的，例如不同的字符编码也会导致一些安全问题，进而产出注入“基于字符集”的注入攻击技巧（mysql的gbk编码会将0xbf27和0xbf5c认作是同一个字符）。

其所造成的危害也是极大的，如开头所讲的核心数据泄露，或者删除部分数据，以及利用注入锁表等语句来挂掉服务器等等。

至于防御方式，也有很多，如严格检查和过滤用户提交的数据、使用预编译语句来保证SQL语句语义的不变性、使用安全的存储过程和安全的编码函数来对抗SQL注入等。

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

总结

愈发严格的过滤手段、预编译语句的使用、许多成熟框架与组件的不断更迭和推广，使得许多SQL注入攻击都消声觅迹了，看到参数就加个单引号的事情应该再也不会发生了。

但是，SQL注入作为一个古老的攻击方式，并不会轻易地消失。

只要有数据和代码未曾分离的地方，便都是注入攻击的可寻之地。

以上，谢谢~

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2021年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全该如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

（都打包成一块的了，不能一一展开，总共300多集）

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

需要的小伙伴也可以扫描下方CSDN官方合作二维码免费领取哦，无偿分享！！！

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

需要的小伙伴也可以扫描下方CSDN官方合作二维码免费领取哦，无偿分享！！！

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

需要的小伙伴也可以扫描下方CSDN官方合作二维码免费领取哦，无偿分享！！！

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！
如果你对网络安全入门感兴趣，

①网络安全学习路线
②上百份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥HW护网行动经验总结
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

需要的小伙伴也可以扫描下方CSDN官方合作二维码免费领取哦，无偿分享！！！