防御SQL注入要具體要如何執(zhí)行?

第一步：很多新手從網(wǎng)上下載SQL通用防注入系統(tǒng)的程序，在需要防范注入的頁面頭部用 來防止別人進行手動注入測試（如圖1）。

可是如果通過SQL注入分析器就可輕松跳過防注入系統(tǒng)并自動分析其注入點（圖2）。然后只需要幾分鐘，你的管理員賬號及密碼就會被分析出來（圖3）。
     
      第二步：對于注入分析器的防范，筆者通過實驗，發(fā)現(xiàn)了一種簡單有效的防范方法。首先我們要知道SQL注入分析器是如何工作的。在操作過程中，發(fā)現(xiàn)軟件并不是沖著“admin”管理員賬號去的，而是沖著權(quán)限（如flag=1）去的。這樣一來，無論你的管理員賬號怎么變都無法逃過檢測。
   

　第三步：既然無法逃過檢測，那我們就做兩個賬號，一個是普通的管理員賬號，一個是防止注入的賬號，為什么這么說呢？筆者想，如果找一個權(quán)限大的賬號制造假象，吸引軟件的檢測，而這個賬號里的內(nèi)容是大于千字以上的中文字符，就會迫使軟件對這個賬號進行分析的時候進入全負(fù)荷狀態(tài)甚至資源耗盡而死機。下面我們就來修改數(shù)據(jù)庫吧。
1.對表結(jié)構(gòu)進行修改。將管理員的賬號字段的數(shù)據(jù)類型進行修改，文本型改成大字段255（其實也夠了，如果還想做得再大點，可以選擇備注型），密碼的字段也進行相同設(shè)置。
2.對表進行修改。設(shè)置管理員權(quán)限的賬號放在ID1，并輸入大量中文字符（最好大于100個字）。
3.把真正的管理員密碼放在ID2后的任何一個位置（如放在ID549上）。
我們通過上面的三步完成了對數(shù)據(jù)庫的修改。

當(dāng)前文章：防御SQL注入要具體要如何執(zhí)行?
分享網(wǎng)址：http://www.bm7419.com/news32/162732.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供做網(wǎng)站、商城網(wǎng)站、網(wǎng)站營銷、網(wǎng)站改版、Google、動態(tài)網(wǎng)站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時需注明來源： 創(chuàng)新互聯(lián)