SQL注入

什么是SQL注入

Sql 注入攻击是通过将恶意的 Sql 查询或添加语句插入到应用的输入参数中，再在后台 Sql 服务器上解析执行进行的攻击，它目前黑客对数据库进行攻击的最常用手段之一。

为什么会有SQL注入

• 代码对带入SQL语句的参数过滤不严格
• 未启用框架的安全配置
• 未使用框架安全的查询方法
• 测试接口未删除
• 未启用防火墙
• 未使用其他的安全防护设备

SQL注入的业务场景和危害

业务常见：

• 登录功能
• 搜索功能
• 详情页
• 商品购买等

如何与数据库产生交互的地方便有可能存在注入

危害：

• 数据库信息泄露：数据库中存放的用户的隐私信息的泄露
• 网页篡改：通过操作数据库对特定网页进行篡改
• 网站被挂马：传播恶意软件，修改数据库一些字段的值，嵌入网马链接，进行挂马攻击。
• 数据库被恶意操作：数据库服务器被攻击，数据库的系统管理员账号被篡改。
• 服务器被远程控制，被按照后门。经由数据库服务器提供的操作系统支持，让黑客得以修改或控制操作系统。

SQL注入的分类