SQL注入的原理分类以及防御方式

原理
程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以构造一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的 SQL Injection，即 SQL 注入。

sql 注入漏洞攻击流程：
注入点探测—信息获取—获取权限注入点探测：
1 单引号 加上单引号，如报错，则可能出现注入点
2 and 判断 判断是字符型还是数字型
A 1 and 1=1 成功 可能存在注入
B 1 and 1=2 成功 说明不是数字型
C 1’and ‘1’= ‘1 成功
1’and ‘1’= ‘2 失败 则存在字符型注入,成功的话换上双引号尝试
3 多防注入程序屏蔽了 and、1=1、1=2 类似这样的关键字，则可尝试以下方法， id 是 123 为例
A 加上-1 即 123-1 返回另外一个结果，则可能是数字型
B 加上%2B 即 123%2B 实际上是‘123’+‘’也就是 123 返回同样结果
加上%2Babcd 实际上是‘123’+‘abcd’123abcd 返回不存在或报错，则可能是字符型注入

信息探测

Limit 的用法 Limit 的使用格式是 limit m,n,其中 m 指的是记录开始的位置，从 m=0 开始，表示第一条记录； n 是指取几条记录。

order by 3即按第三个字段升序排列，若没有第三个字段则报错，以此来判断sql语句选择的字段数

需要记住的几个函数
a) Version()；当前 mysql 的版本
b) Database();当前网站使用的数据库
c) User();当前 MySQL 的用户 d) system_user(); 系统用户名 e）session_user();连接数据库的用户名
f)current_user;当前用户名
g)load_file();读取本地文件
h)length(str) : 返回给定字符串的长度，如 length(“string”)=6
i)substr(string,start,length) : 对于给定字符串 string，从 start 位开始截取，截取
length 长度 ,如 substr(“chinese”,3,2)=“in”
substr()、stbstring()、mid() 三个函数的用法、功能均一致
j)concat(username)：将查询到的 username 连在一起，默认用逗号分隔 concat(str1,’’,str2)：将字符串 str1 和 str2 的数据查询到一起，中间用连接 group_concat(username) ：将 username 数据查询在一起，用逗号连接注释符号 三种注释符号： i. 1. #
ii. 2. --空格 空格可以使用+代替 （url 编码%23 表示注释） iii. 3. /**/

类型

按按注入点来分数字型 字符型 搜素型
搜索型：这是一类特殊的注入类型。这类注入主要是指在进行数据搜索时没过滤搜索参数，一般在链接地址中有 “keyword=关键字” 有的不显示在的链接地址里面，而是直接通过搜索框表单提交。此类注入点提交的 SQL 语句，其原形大致为：select * from 表名 where 字段 like ‘%关键字%’ 若存在注入，我们可以构造出类似与如下的sql 注入语句进行爆破：
select * from 表名 where 字段 like ‘%测试%’ and ‘%1%’=’%1%’

按数据提交类型
GET POST Cookie HTTP 头部:User-Agent

执行效果
布尔盲注 时间盲注 报错盲注 联合查询 堆查询 宽字节

堆查询（堆叠）注入：
原理：在SQL中，分号（;）是用来表示一条sql语句的结束，即在注入时可以用分号隔开多条语句
局限性：可能受API或数据库引擎的限制，不支持执行所有语句，或者web前端只会把第一条语句的结果显示出来
另外，堆叠注入中也有可能注入php代码，这样的危害性更大

防御
1 预编译
SQL 引擎会预先进行语法分析，产生语法树，生成执行计划，也就是说，后面你输入的参数，无论你输入的是什么，都不会影响该 sql 语句的语法结构了，后面输入的参数，是绝对不可能作为 sql 命令来执行的，只会被当做字符串字面值参数。所以 sql 语句预编译可以防御 sql 注入。
Php 预编译语法：
$link = new mysqli(‘127.0.0.1’, ‘root’, ‘root’, ‘books’);
$stmt = $link->prepare(“select * from books where name = ? AND price = ?”);
$stmt->bind_param(“ss”, $name, $price);
$stmt->execute();
$stmt->bin{d}_{r}esult($bookname, $bookprice);
2 转义 sql 语句
mysql_real_escape_string – 转义 SQL 语句中使用的字符串中的特殊字符，并考虑到连接的当前字符集
3 输入的数据类型数据长度作限制
4 特征过滤限制数据库权限和特权
避免直接向用户显示数据库错误