哎呀，今天我想跟巨大伙儿说说那东西啥，就是那东西叫SQL注入的东西。hen许多人说这玩意儿hen凶险，Neng把网站给搞崩溃或者偷走密码。其实吧，这就是恶劣人往你的输入框里乱填东西，让数据库以为那是命令就给施行了。真实的太气人了！我虽然没怎么学过那些个高大级的代码，但我也想帮巨大家kankan怎么搞定它。

一、到底啥是SQL注入啊？

轻巧松说就是你写了个网页，有个地方让用户填名字。正常人填“张三”，后来啊有个恶劣蛋填了' OR '1'='1。这时候你的数据库就傻了它觉得 1 等于 1 是对的，于是就把全部人的资料dou给这玩意儿恶劣蛋kan了。这就像是你让门卫检查身份证，后来啊对方给你一张写着“我是老板”的白纸，门卫竟然信了！真实是太离谱了。

这种事情发生是基本上原因是程序员太懒了直接把用户写的东西拼在语句后面。这就是所谓的“拼接字符串”，简直是网络平安的巨大忌！

1. 联合查询注入

这玩意儿 UNION 玩意儿挺有意思的。恶劣人利用这玩意儿操作符把两个查询后来啊拼在一起。比如他本来只Nengkan到自己的订单号， 但他用 UNION 把管理员表给连起来了这样他就Neng在页面上kan到管理员的账号和密码。这就像是你去买奶茶，后来啊通过某种手段让店员把店里的财务报表也一起给你递过来一样。

2. 报错注入

有些网站配置得太烂了出错了会把详细的错误信息打印在屏幕上。恶劣人故意输入一些乱七八糟的东西让数据库报错。然后数据库就老实地告诉他：“对不起，我在施行 XXX 表的时候出错了”。嘿！恶劣人一kan就晓得你的表叫啥名字了！这就相当于细小偷敲门问你家在哪，你不仅告诉他地址还告诉他锁是哪个牌子的。

3. 盲注

这种Zui阴险。页面上不出错也不kan得出来数据。但恶劣人会问数据库：“嘿，管理员密码的第一位是不是 'a'？” Ru果页面加载迅速一点或者kan得出来“正确”，他就晓得是对的；Ru果磨蹭一点或者kan得出来“错误”，他就晓得是错的。一个字符一个字符地试，虽然磨蹭得像蜗牛爬，但只要时候够长远也Neng把数据全部偷走。

4. 时候盲注

这是盲注的一种升级版。他会让数据库施行一个 sleep 的函数。Ru果网页过了5秒才打开 $\text{--}$ 说明注入成功了！这种方法真实的太绝了 $\text{--}$ 虽然效率矮小得要死 $\text{--}$ 但真实的hen管用。

二、咋办才Neng防住这些个恶劣蛋？

沉点来了！巨大家一定要记住下面这几招 $\text{--}$ 特别是第一招 $\text{--}$ 谁要是不用第一招谁就是在给黑客开后门！

用参数化查询

这是Zui牛的方法！不要再用那种加号拼接字符串的方式写代码了。你得用预编译语句。这样不管用户输入啥奇怪符号 $\text{--}$ 比如单引号、分号啥的 $\text{--}$ 数据库dou会把它当成普通的文字处理 $\text{--}$ 而不是当作指令施行。

给输入Zuo过滤

你要像检查行李一样检查用户的输入内容。比如用户名里不得出现单引号 或者双横线 之类的东西。你Neng建立一个白名单 $\text{--}$ 只允许字母和数字进入 $\text{--}$ 其余的一律滚蛋！不过眼下hen许多黑客Neng绕过过滤 $\text{--}$ 所以这一招只Neng作为辅助手段 $\text{--}$ 不Neng全靠它。

不要给太许多权限

hen许多人为了省事直接用 root 或者 sa 账户连接数据库$\dots$ 这简直是疯了！万一被注入了$\dots$ 黑客Neng直接删库跑路 或者修改系统设置。你得创建一个专门的细小账号$\dots$ 它只Neng SELECT 一两个表$\dots$ 不Neng删东西$\dots$ 也不Neng改结构$\dots$ 这样就算被攻破了亏本也细小一些。

关闭详细错误回显

千万不要在生产周围下开启 debug 模式！不要让用户kan到随便哪个关于 SQL 的报错信息。出了错就统一kan得出来一个轻巧松的 “哎呀出错了请稍后再试” 就行了 $\text{--}$ 不要告诉对方你的服务器是用啥版本 MySQL 构建的 $\text{--}$ 这就是给敌人递地图啊！

三、 一下我的kan法

  RandomNoise_9928374_XyZ © 本文由一个不想学但想救世的人编写 @2023