手动识别 SQL 注入

大多数现代 Web 应用程序都实现某种数据库，而 SQL 是最常用的查询数据库的语言。

1.SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作当用户自定义参数请求服务器中的动态资源或者在服务器上执行的代码包含了某个页面时，就会出现文件包含漏洞。如果让服务器执行了文件包含导致的恶意代码，系统就有可能被入侵。

一. 环境准备

1.开启OWASP靶机和Kali虚拟机

2.kali中登陆dvwa（用户名和密码都是 admin），进入 SQL Injection（SQL 注入）页面，安全等级调为low

二. 手动识别 SQL 注入案例

1.通过输入一个数字来测试应用程序的正常行为。将用 户 ID 设置为 1，然后单击“提交”。 通过查看结果，可以说应用程序查询数据库以查看是否存在 ID 等于 1 的用户并返回该用户的 ID、名称和姓氏。（提交ID，查看显示的信息）

2.接下来，测试如果发送应用程序不期望的内容会发生什么。在文本框中输入 1'