专业创造价值,服务赢取未来!我们专注于中小企业网站建设服务15年-博士通!
0755-89812581| 网站导航
返回资讯中心当前所在位置:首 页 > 资讯中心 >代码世界 > 简单三步堵死SQLServer注入漏洞

简单三步堵死SQLServer注入漏洞

简单三步堵死SQLServer注入漏洞发布时间 : 2015-07-07    作者 : 博士通    浏览 : 2405

许多网站程序在编写时,没有对用户输入数据的合法性进行判断,使应用程序存在安全隐患。用户可以提交一段数据库查询代码(一般是在浏览器地址栏进行,通过正常的www端口访问)...
一、SQL注入是什么?

许多网站程序在编写时,没有对用户输入数据的合法性进行判断,使应用程序存在安全隐患。用户可以提交一段数据库查询代码(一般是在浏览器地址栏进行,通过正常的www端口访问),根据程序返回的结果,获得某些想得知的数据,这就是所谓的SQL Injection,即SQL注入。

二、网站的恶梦——SQL注入

SQL注入通过网页对网站数据库进行修改。它能够直接在数据库中添加具有管理员权限的用户,从而最终获得系统管理员权限。黑客可以利用获得的管理员权限任意获得网站上的文件或者在网页上加挂木马和各种恶意程序,对网站和访问该网站的网友都带来巨大危害。

三、防御SQL注入有妙法

第1步:很多新手从网上下载SQL通用防注入系统的程序,在需要防范注入的页面头部用来防止别人进行手动注入测试。可是如果通过SQL注入分析器就可轻松跳过防注入系统并自动分析其注入点。然后只需要几分钟,你的管理员账号及密码就会被分析出来。

第2步:对于注入分析器的防范,通过实验,发现了一种简单有效的防范方法。首先我们要知道SQL注入分析器是如何工作的。在操作过程中,发现软件并不是冲着“admin”管理员账号去的,而是冲着权限(如flag=1)去的。这样一来,无论你的管理员账号怎么变都无法逃过检测。

第3步:既然无法逃过检测,那我们就做两个账号,一个是普通的管理员账号,一个是防止注入的账号,如果找一个权限最大的账号制造假象,吸引软件的检测,而这个账号里的内容是大于千字以上的中文字符,就会迫使软件对这个账号进行分析的时候进入全负荷状态甚至资源耗尽而死机。下面我们就来修改数据库吧。

(1)对表结构进行修改。将管理员的账号字段的数据类型进行修改,文本型改成最大字段255(其实也够了,如果还想做得再大点,可以选择备注型),密码的字段也进行相同设置。
(2)对表进行修改。设置管理员权限的账号放在ID1,并输入大量中文字符(最好大于100个字)。
(3)把真正的管理员密码放在ID2后的任何一个位置(如放在ID549上)。

我们通过上面的三步完成了对数据库的修改。另外要明白您做的ID1账号其实也是真正有权限的账号,现在计算机处理速度那么快,要是遇上个一定要将它算出来的软件,这也是不安全的。只要在管理员登录的页面文件中写入字符限制就行了,就算对方使用这个有上千字符的账号密码也会被挡住的,而真正的密码则可以不受限制。

案例推荐

深圳英博达智能科技有限公司

深圳英博达智能科技有限公司

案例热度_46382019-03-07
深圳市同德税务师事务所

深圳市同德税务师事务所

案例热度_44632019-03-06
贵港贵和科技有限公司

贵港贵和科技有限公司

案例热度_44732019-03-05

其他人还阅读了该篇文章:

您可能感兴趣的文章:公司网站建设注意事项    |    企业网站建设套餐    |    企业手机网站制作    |    企业网站如何优化    |    企业网站改版收费

关于我们 / About Us
深圳网站建设办公环境 博士通是一家一站式中小企业网络运营方案提供商,全国统一服务热线 :0755-89812581 ; 博士通总部位于深圳,业务涵盖域名注册,空间购买,深圳网站建设,网站建设和改版,微信公众号运营,百度竞价托管,网站优化推广引流,手机网站建设,小程序开发,购物网站开发,企业邮箱申请等服务。和传统网络公司不同的是,博士通在网页设计风格上独树一帜,领先行业率先推出宽屏企业网站设计风格,围绕客户需求的同时兼具行业潮流设计网站,让网站在新式设备上获得更好地展示效果;历经14年网站建设企业网站制作经验积累,客户遍及深圳,广州,成都,香港等地,涉及办公,装饰,电子,物流等不同行业... > > > 详 情
联系我们 / Contact Us
深圳市  龙华新区
富泉大厦715室
0755 - 业务咨询
89812581
售后QQ : 1227522459
E-mail : service@800535.com
© 2004-2019 深圳市博士通科技有限公司 版权所有( 粤ICP备15005241号 )  网站常年法律顾问:朱运德律师   
logo
做个企业网站多少钱?点击QQ图标,马上知道答案!
logologologo
咨询热线:0755 - 898 12581