建站
咨詢
售后
建站咨詢
新聞中心
SQL 注入（ Structured Query Language injection）攻擊技術(shù)是一種利用現(xiàn)有程序漏洞進(jìn)而訪問(wèn)、控制及操縱數(shù)據(jù)庫(kù)的技術(shù)，是現(xiàn)今黑客攻擊的主要方式之一。SQL 注入技術(shù)利用的就是WEB應(yīng)用程序的設(shè)計(jì)缺陷，來(lái)執(zhí)行非法SQL命令，對(duì)服務(wù)器上的數(shù)據(jù)庫(kù)擁有更大的權(quán)限，從而對(duì)系統(tǒng)數(shù)據(jù)庫(kù)進(jìn)行操作。
MSSQL 數(shù)據(jù)庫(kù)的手工注入技術(shù)比較簡(jiǎn)單，可以在網(wǎng)頁(yè)URL或者是網(wǎng)頁(yè)表單中輸入SQL語(yǔ)句布置攻擊，如用戶要查詢名為“張三”的記錄，可以使用語(yǔ)句：
“`sql
SELECT * FROM table_name WHERE name=’張三’;
如果URL或網(wǎng)頁(yè)表單是對(duì)應(yīng)上述SQL語(yǔ)句的輸入框，那么我們可以增加SQL語(yǔ)句來(lái)進(jìn)行注入，比如：
```sql
SELECT * FROM table_name WHERE name='張三' OR 1=1;
這段SQL語(yǔ)句會(huì)返回表中所有的記錄，由此可以暴力破解出這個(gè)表的內(nèi)容。我們可以通過(guò)手工注入來(lái)查看服務(wù)器上內(nèi)存中正在運(yùn)行的SQL語(yǔ)句，可以猜測(cè)SQL語(yǔ)句中變量的內(nèi)容，并且可以執(zhí)行各種類型SQL語(yǔ)句，比如修改記錄、刪除記錄等，迅速造成損失，同時(shí)給MSsqlserver提供未經(jīng)授權(quán)的訪問(wèn)，嚴(yán)重時(shí)甚至可以在網(wǎng)頁(yè)層面上獲得登錄賬號(hào)密碼等。
鑒于MSSQL數(shù)據(jù)庫(kù)有較高的權(quán)限，一旦受到SQL 注入攻擊，可以造成較為嚴(yán)重的后果，因此，需要采取及時(shí)措施，避免可能受到SQL 注入攻擊的危害，可以采取如下幾種操作：
1. 建立安全的系統(tǒng)，應(yīng)用安全的編程機(jī)制，包括參數(shù)綁定、超時(shí)機(jī)制等；
2. 將需要安裝的軟件及更新進(jìn)行嚴(yán)格檢查，限制外部訪問(wèn)，保護(hù)防火墻等；
3. 建立安全策略，杜絕排除攻擊，對(duì)用戶訪問(wèn)行為和頻率加以審查；
4. 對(duì)相關(guān)技術(shù)人員加以培訓(xùn)，深入了解數(shù)據(jù)庫(kù)注入攻擊技術(shù)，及時(shí)進(jìn)行故障搶修；
通過(guò)上述措施，可以將MSSQL數(shù)據(jù)庫(kù)注入攻擊的風(fēng)險(xiǎn)和損失減少到最低程度。
香港服務(wù)器選創(chuàng)新互聯(lián)，2H2G首月10元開(kāi)通。
創(chuàng)新互聯(lián)（www.cdcxhl.com）互聯(lián)網(wǎng)服務(wù)提供商,擁有超過(guò)10年的服務(wù)器租用、服務(wù)器托管、云服務(wù)器、虛擬主機(jī)、網(wǎng)站系統(tǒng)開(kāi)發(fā)經(jīng)驗(yàn)。專業(yè)提供云主機(jī)、虛擬主機(jī)、域名注冊(cè)、VPS主機(jī)、云服務(wù)器、香港云服務(wù)器、免備案服務(wù)器等。
標(biāo)題名稱：掌握MSSQL數(shù)據(jù)庫(kù)手工注入技術(shù)（mssql數(shù)據(jù)庫(kù)手工注入）
轉(zhuǎn)載來(lái)于：http://m.5511xx.com/article/dhgship.html
