安全测试之sql注入测试

这篇文章，主要是来总结一下，sql注入应该如何去测试。
测试端：数据库服务端
测试点：sql注入
使用工具：burpsuit或Appscan工具或手工或sqlmap
测试方案：
1.使用ibatis或mybatis，是否符合以下标准
#name#代替$name$ #orderByColumn:METADATA$替换$orderByColumn$
#ordertype:SQLKEYWORD$替换 $ordertype$；
2.检测源代码不要使用字符串拼接sql方式；
3.使用burpsuit或页面测试：字符型 ’ and ‘1’='1 以及‘ and ’1’＝’2 看两页面是否不同；数字型 and 1=1 或 and 1=2

修复方案：
1.PHP或java可使用安全开发规范安全包或自己有安全包过滤；
2.不要使用字符串拼接方式；

希望对在安全测试中迷茫的朋友有用。