SQL注入,“骇客的填空游戏”
SQL简介:
SQL是高级的非过程化编程语言,它允许用户在高层数据结构上工作。它不要求用户指定对数据的存放方法,也不需要用户了解其具体的数据存放方式。而它的界面,能使具有底层结构完全不同的数据库系统和不同数据库之间,使用相同的SQL作为数据的输入与管理。它以记录项目〔records〕的合集(set)〔项集,record set〕作为操纵对象,所有SQL语句接受项集作为输入,回提交的项集作为输出,这种项集特性允许一条SQL语句的输出作为另一条SQL语句的输入,所以SQL语句可以嵌套,这使它拥有极大的灵活性和强大的功能。在多数情况下,在其他编程语言中需要用一大段程序才可实践的一个单独事件,而其在SQL上只需要一个语句就可以被表达出来。这也意味着用SQL可以写出非常复杂的语句。数据库分为关系型数据库,非关系型数据库和键值数据库
- 关系型数据库 :
MySQL
PostgreSQL
Microsoft Access
Microsoft SQL Server
Google Fusion Tables
FileMaker
Oracle数据库
Sybase
dBASE
Clipper
FoxPro
几乎所有的数据库管理系统都配备了一个开放式数据库连接(ODBC)驱动程序,令各个数据库之间得以互相集成。 - 非关系型数据库
主条目:NoSQL
BigTable(Google)
Cassandra
MongoDB
CouchDB - 键值(key-value)数据库
Apache Cassandra
Dynamo
LevelDB(Google)
关于SQL注入
- SQL注入万变不离其宗,最后都是以盗取数据库中数据为目的。
- 简称注入攻击,是发生于应用程序之数据库层的安全漏洞。简而言之,是在输入的字符串之中注入SQL指令,在设计不良的程序当中忽略了检查,那么这些注入进去的指令就会被数据库服务器误认为是正常的SQL指令而运行,因此遭到破坏或是入侵。
有部分人认为SQL注入攻击是只针对Microsoft SQL Server而来,但只要是支持批处理SQL指令的数据库服务器,都有可能受到此种手法的攻击。 - 作用原理
1、SQL命令可查询、插入、更新、删除等,命令的串接。而以分号字符为不同命令的区别。(原本的作用是用于SubQuery或作为查询、插入、更新、删除……等的条件式)
2、SQL命令对于传入的字符串参数是用单引号字符所包起来。(但连续2个单引号字符,在SQL数据库中,则视为字符串中的一个单引号字符)
3、SQL命令中,可以注入注解(连续2个减号字符 – 后的文字为注解,或“/”与“/”所包起来的文字为注解)
4、因此,如果在组合SQL的命令字符串时,未针对单引号字符作替换处理的话,将导致该字符变量在填入命令字符串时,被恶意窜改原本的SQL语法的作用。
举例:
某个网站的登录验证的SQL查询代码为:
strSQL = "SELECT * FROM users WHERE (name = '" + userName + "') and (pw = '"+ passWord +"');"
恶意填入userName = "1' OR '1'='1";
与passWord = "1' OR '1'='1";
时,将导致原本的SQL字符串被填为
strSQL = "SELECT * FROM users WHERE (name = '1' OR '1'='1') and (pw = '1' OR '1'='1');"
也就是实际上运行的SQL命令会变成下面这样的
strSQL = "SELECT * FROM users;"
因此达到无账号密码,亦可登录网站。所以SQL注入攻击被俗称为黑客的填空游戏
。
- 由此我们可以看出,这个问题的严重性,特别是对带有VIP会员的中下企业。
对于个人来说,机密数据泄露,账户数据和密码更是无所遁形。
- 近些年相关的入侵事件:
003年骤雨计划
2010年澳大利亚网络攻击
2010年偿还行动
2011年DigiNotar黑客入侵事件
2011年突尼斯行动
2011年PSN个人信息泄露事件
2011年反安全行动
2012–2013年斯特拉特福公司电邮泄露事件
2012年领英黑客入侵事件
2013年南韩网络攻击
2013年Snapchat黑客入侵事件
2014年Tovar行动
2014年日本文殊核电站电脑病毒事件
2014年名人照片泄露事件
2014年心脏出血漏洞
2014年破壳漏洞
2014年贵宾犬漏洞
2014年索尼影业黑客入侵事件
2015年FREAK漏洞
2015年美国联邦人事管理局资料外泄案
SQL注入,“骇客的填空游戏”相关推荐
- 如何防止SQL注入 http://zhangzhaoaaa.iteye.com/blog/1975932
如何防止SQL注入 博客分类: 技术转载数据库 转自:http://021.net/vpsfaq/152.html -----解决方案--------------------------------- ...
- php爆路径与sql注入,人人网游戏XSS+SQL注入+爆路径+列目录,员工信息大量泄漏
XSS偷取cookies,还有注入,权限蛮大的哦,能直接load_file('/etc/passwd') 目测拿下wan.renren.com http://wan.renren.com/servic ...
- 某游戏公司后台数据库SQL注入事件分析
某游戏公司后台数据库SQL注入事件分析 人物关系简介 Blank –SA Dawn(Boss) Ryan –DBA Fred –离开公司的安全顾问 本案例出自于<Unix/Linux网络日志分析 ...
- /plus/recommend.php sql注入漏洞,代码审计:ThinkPHP框架通杀所有版本的一个SQL注入漏洞详细分析及测试方法 | Seay 渗透 编程 代码审计 网络安全博客...
显示不全请点击全屏阅读 下面是摘自thinkphp官方的一个公告,官方直接贴出这些东西是非常不负责的行为,跟上次apache公开的Struts2的代码执行一样的行为,会造成很多用户被黑.建议类似的厂商 ...
- 仿5173游戏交易平台系统SQL注入(可直接脱裤)+Getshell
最近没事登登好几年前玩过的游戏看看,发现有人喊高价收号,这一看就是骗子,这等骗子还想骗我?我就来看看这逗逼是怎么骗人的,结果发现这人给了一个说是 5173平台交易的网站,叫我直接把号的信息填上去然后填 ...
- 网页闯关游戏(riddle webgame)--SQL注入的潘多拉魔盒
前言: 之前编写了一个网页闯关游戏(类似Riddle Game), 除了希望大家能够体验一下我的游戏外. 也愿意分享编写这个网页游戏过程中, 学到的一些知识. web开发初学者往往会忽视一些常见的漏洞 ...
- 高级SQL注入拿shell,一般黑客不知道。哈客
服务器只有一个站,又找不到注入点怎么办? 你可以试试在搜索框,登陆,任何框框里放个单引号,看看是否报错 初级部分 加个单引号',后面随便,随便填个密码,点击登陆 典 ...
- sql注入预防 [ 光影人像 东海陈光剑 的博客 ]
一. SQL 注入攻击的简单示例. statement := "SELECT * FROM Users WHERE Value= " + a_variable + " 上 ...
- sql 注入_商洛学院司徒荆_新浪博客
一.sql 注入:猜解数据库 shiyan:~/ $ wget http://labfile.oss.aliyuncs.com/courses/876/dvwa.tar.gz shiyan:~/ $ ...
最新文章
- 初识java类的接口实现
- 记录在Ubuntu14.04上安装ryu中遇到的各种坑
- append函数_高质量python代码:考虑用生成器来改写直接返回列表的函数
- 助理来也胡一川:用数据驱动打造智能行业助理(技术+业务)
- php调用含有命名空间的类
- 贾跃亭的惩罚来了!就这??
- 什么样的站点可以***
- (转)关于block使用的5点注意事项
- 征信报告HTML文件修改,征信记录竟然可以修改!
- 史密斯圆图串并联口诀_最近终于把阻抗匹配和史密斯圆图搞懂了,总结了一下!...
- 兄弟HL4150cdn恢复出厂设置_兄弟打印机恢复出厂设置
- 学Python,用Python自动创建PDF文档,实现办公自动化
- u大侠制作linux启动盘,苹果电脑利用快捷键进入U盘启动的方法
- 《一个人的朝圣》读后感
- 手绘标记视频标题文字介绍ae模板
- mac Error: ENOENT: no such file or directory, stat ‘/.VolumeIcon.icns
- 对多项式求积分和微分
- HTML+CSS+原生JS写一个简易的音乐播放器(仅播放一首歌)
- 今天,Java 12 正式发布了! 你在用哪个版本?
- EasyFlipViewPager,flutter教程
热门文章
- 是爱情,让我们直立行走
- 通达信公式改成python_python转换通达信股票数据
- IDEA 开启内存显示与修改内存
- 申请美国计算机科学,美国计算机科学申请须知
- AUTOCAD——删除命令、直径标注
- A Tutorial on UAVs for Wireless Networks: Applications, Challenges, and Open Problems
- dlt变换matlab,直接线性变换(DLT)简易程序实现
- 三菱modbusRTU通讯实例_三菱PLC通讯编程实例
- ubuntu安装eclipse报错问题集
- IBM Watson大裁70% 员工,国内大批伪AI企业!