三步堵死SQL注入漏洞

 

SQL注入是什麼？

　　許多網站程序在編寫時，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。用戶能夠提交一段數據庫查詢代碼（通常是在瀏覽器地址欄進行,經過正常的www端口訪問），根據程序返回的結果，得到某些想得知的數據，這就是所謂的SQL Injection，即SQL注入。
網站的惡夢——SQL注入

　　SQL注入經過網頁對網站數據庫進行修改。它可以直接在數據庫中添加具備管理員權限的用戶，從而最終得到系統管理員權限。黑客能夠利用得到的管理員權限任意得到網站上的文件或者在網頁上加掛木馬和各類惡意程序，對網站和訪問該網站的網友都帶來巨大危害。

防護SQL注入有妙法

　　第一步：不少新手從網上下載SQL通用防注入系統的程序，在須要防範注入的頁面頭部用 來防止別人進行手動注入測試（。

　　但是若是經過SQL注入分析器就可輕鬆跳過防注入系統並自動分析其注入點。而後只須要幾分鐘，你的管理員帳號及密碼就會被分析出來。

第二步：對於注入分析器的防範，筆者經過實驗，發現了一種簡單有效的防範方法。首先咱們要知道SQL注入分析器是如何工做的。在操做過程當中，發現軟件並非衝着「admin」管理員帳號去的，而是衝着權限（如flag=1）去的。這樣一來，不管你的管理員帳號怎麼變都沒法逃過檢測。

　　第三步：既然沒法逃過檢測，那咱們就作兩個帳號，一個是普通的管理員帳號，一個是防止注入的帳號，爲何這麼說呢？筆者想，若是找一個權限最大的帳號製造假象，吸引軟件的檢測，而這個帳號裏的內容是大於千字以上的中文字符，就會迫使軟件對這個帳號進行分析的時候進入全負荷狀態甚至資源耗盡而死機。下面咱們就來修改數據庫吧。

　　1.對錶結構進行修改。將管理員的帳號字段的數據類型進行修改，文本型改爲最大字段255（其實也夠了，若是還想作得再大點，能夠選擇備註型），密碼的字段也進行相同設置。

　　2.對錶進行修改。設置管理員權限的帳號放在ID1，並輸入大量中文字符（最好大於100個字）。

　　3.把真正的管理員密碼放在ID2後的任何一個位置（如放在ID549上）。

　　咱們經過上面的三步完成了對數據庫的修改。

　　這時是否是修改結束了呢？其實否則，要明白你作的ID1帳號其實也是真正有權限的帳號，如今計算機處理速度那麼快，要是趕上個必定要將它算出來的軟件，這也是不安全的。我想這時大多數人已經想到了辦法，對，只要在管理員登陸的頁面文件中寫入字符限制就好了！就算對方使用這個有上千字符的帳號密碼也會被擋住的，而真正的密碼則能夠不受限制。