sql注入原理及基本认识-创新互联

引言：

作为长期占据 OWASP Top 10 首位的注入，至于什么是OWASP可以参考一下百度百科OWASP

SQL注入简介：

所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。 [1] 比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式***．

注入原理

程序命令没能对用户输入的内容能作出正确的处理导致执行非预期命令或访问数据。或者说产生注入的原因是接受相关参数未经正确处理直接带入数据库进行查询操作。发起注入***需要存在可控参数（数据）提交方式的确认和SQL命令相关点

sql注入的分类

根据数据的传输方式：GET型 POST型 COOKie型
根据数据的类型：数字型、字符型

根据注入的模式：

基于联合查询的注入模式
基于报错的注入模式
基于布尔的盲注
基于时间的盲注
堆查询的注入模式

sql注入一般步骤

sql 注入的基本步骤（这个跟sqlmap的步骤基本一致吧）
判断是什么类型注入，有没过滤了关键字，可否绕过

获取数据库用户，版本，当前连接的数据库等信息

获取某个数据库表的信息

获取列信息

最后就获取数据了。

另外有需要云服务器可以了解下创新互联cdcxhl.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。