相信很多站長(zhǎng)都有被sql注入的經(jīng)歷，那是一種很痛苦很惡心的感覺(jué)，當(dāng)看到自己的網(wǎng)站被掛馬后，感覺(jué)就像吃了蒼蠅一樣惡心，難道這就是網(wǎng)站被強(qiáng)奸的感覺(jué)？sql注入很可怕，但是，也不是洪水猛獸，仔細(xì)研究，還是可以避免的。

   許多網(wǎng)站程序在編寫(xiě)時(shí)，沒(méi)有對(duì)用戶(hù)輸入數(shù)據(jù)的合法性進(jìn)行判斷，使應(yīng)用程序存在安全隱患。用戶(hù)可以提交一段數(shù)據(jù)庫(kù)查詢(xún)代碼(一般是在瀏覽器地址欄進(jìn)行，通過(guò)正常的www端口訪(fǎng)問(wèn))，根據(jù)程序返回的結(jié)果，獲得某些想得知的數(shù)據(jù)，這就是所謂的sql injection，即sql注入。

   sql注入通過(guò)網(wǎng)頁(yè)對(duì)網(wǎng)站數(shù)據(jù)庫(kù)進(jìn)行修改。它能夠直接在數(shù)據(jù)庫(kù)中添加具有管理員權(quán)限的用戶(hù)，從而最終獲得系統(tǒng)管理員權(quán)限。黑客可以利用獲得的管理員權(quán)限任意獲得網(wǎng)站上的文件或者在網(wǎng)頁(yè)上加掛木馬和各種惡意程序，對(duì)網(wǎng)站和訪(fǎng)問(wèn)該網(wǎng)站的網(wǎng)友都帶來(lái)巨大危害。

   防御sql注入探討

   第一步：很多新手從網(wǎng)上下載sql通用防注入系統(tǒng)的程序，放在在需要防范注入的頁(yè)面頭部，用來(lái)防止別人進(jìn)行手動(dòng)注入測(cè)試。可是如果通過(guò)sql注入分析器就可輕松跳過(guò)防注入系統(tǒng)并自動(dòng)分析其注入點(diǎn)。然后只需要幾分鐘，你的管理員賬號(hào)及密碼就會(huì)被分析出來(lái)。

   第二步：對(duì)于注入分析器的防范，筆者通過(guò)實(shí)驗(yàn)，發(fā)現(xiàn)了一種簡(jiǎn)單有效的防范方法。首先我們要知道sql注入分析器是如何工作的。在操作過(guò)程中，發(fā)現(xiàn)軟件并不是沖著“admin”管理員賬號(hào)去的，而是沖著頁(yè)面權(quán)限(如flag=1，很多網(wǎng)站后臺(tái)判斷用戶(hù)權(quán)限只是簡(jiǎn)單的在頭部用個(gè)session進(jìn)行判斷)去的。這樣一來(lái)，無(wú)論你的管理員賬號(hào)怎么變都無(wú)法逃過(guò)檢測(cè)。

   第三步：既然無(wú)法逃過(guò)檢測(cè)，那我們就做兩個(gè)賬號(hào)，一個(gè)是普通的管理員賬號(hào)，一個(gè)是防止注入的賬號(hào)，為什么這么說(shuō)呢？如果找一個(gè)權(quán)限最大的賬號(hào)制造假象，吸引軟件的檢測(cè)，而這個(gè)賬號(hào)里的內(nèi)容是大于千字以上的中文字符，就會(huì)迫使軟件對(duì)這個(gè)賬號(hào)進(jìn)行分析的時(shí)候進(jìn)入全負(fù)荷狀態(tài)甚至資源耗盡而死機(jī)。下面我們就來(lái)修改數(shù)據(jù)庫(kù)吧。

   1、對(duì)表結(jié)構(gòu)進(jìn)行修改。將管理員的賬號(hào)字段的數(shù)據(jù)類(lèi)型進(jìn)行修改，文本型改成最大字段255(其實(shí)也夠了，如果還想做得再大點(diǎn)，可以選擇備注型)，密碼的字段也進(jìn)行相同設(shè)置。

   2、對(duì)表進(jìn)行修改。設(shè)置管理員權(quán)限的賬號(hào)放在id1，并輸入大量中文字符(最好大于100個(gè)字)。

   3、把真正的管理員密碼放在id2后的任何一個(gè)位置(如放在id549上)。

我們通過(guò)上面的三步完成了對(duì)數(shù)據(jù)庫(kù)的修改。這時(shí)是不是修改結(jié)束了呢？其實(shí)不然，要明白你做的id1賬號(hào)其實(shí)也是真正有權(quán)限的賬號(hào)，現(xiàn)在計(jì)算機(jī)處理速度那么快，要是遇上個(gè)一定要將它算出來(lái)的軟件，這也是不安全的。我想這時(shí)大多數(shù)人已經(jīng)想到了辦法，對(duì)，只要在管理員登錄的頁(yè)面文件中寫(xiě)入字符限制就行了!就算對(duì)方使用這個(gè)有上千字符的賬號(hào)密碼也會(huì)被擋住的，而真正的密碼則可以不受限制。