最常用的 SQL 注入攻击

Question

我正在开发一个新的应用程序，我想测试它是否容易受到攻击。我知道一些常见的攻击，但也许您可以提供更多攻击，以使我的应用程序更安全。

谢谢！

Answer 1

查看这篇文章：http://ferruh.mavituna.com/sql-injection-cheatsheet -奥/
还有一个名为 SQL Inject Me 的 Firefox 附加组件，但目前它不适用于 Firefox 6

Answer 2

没有理由测试多个攻击向量。如果它对 SQL 注入开放，那么简单地传递用于引用字符串的字符（通常是'）就会导致语法错误 - 除非您有 IDS 或某些基于签名的检测阻碍您。

Answer 3

• 始终使用正确的函数转义变量（例如， $pdo->quote () 或 mysql_real_escape_string()，具体取决于您使用的扩展）
• 使用 尽可能准备好语句
• 永远不要过早转义你的变量，否则你永远不知道它们是否被转义。尽可能晚地逃离它们，并始终认为它们没有逃脱。
• 正确设置连接编码

如果您遵循此操作，您就不会受到 SQL 注入的攻击（前提是您不要忘记转义某些内容）。