蒋平

摘要：学校的教务平台和学生管理系统正在加速向WEB方向发展，设计一系列的技术手段，在尽量不增加开发难度和硬件费用的前提下，提升高校管理平台的数据库的安全性。

关键字：数据库，SQL注入，安全

1.概述

随着互联网和高校信息化的发展，学校业务上网成了学校的“必修课”，现在大部分院校都可以提供在线学生信息系统服务。在方便了学生的同时，却也给学校的网络安全带来了更大的挑战。

在学校网络安全防护的各个角度中，数据库防护是重中之重。原因在于SQL注入攻击风险小、开销小、实施容易，是攻击校园网络的主要手段。同时学校信息系统大部分都是使用自主开发模式，费用低周期短，但是受限于学校技术人员的软件开发经验和水平，往往存在需求分析不充分，代码编写不规范等问题。开发出的系统往往以“能用即可”为标准，在安全方面存在较大隐患。网站的数据库一旦被注入，常常会造成平台瘫痪，学生信息泄露甚至成绩被篡改等一系列后果。

2.常用SQL注入技术

SQL注入攻击在国内的流行可以追溯到本世纪初，已经有十余年的历史，SQL注入从原理上说都是一致的，即通过把SQL命令插入到查询字符串中，以欺骗服务器执行恶意的SQL命令。实现这一目的的手段是多种多样的，一般来说可以分为以下几种：

1.GET注入。如平台有一查询成绩页面，获得用户输入的查询参数4031后生成页面的地址如下：http：//localhost：8080/ExcelUsingXSLT/Default.aspx？studentid=4031.

此时平台会在指定表里查询学号为4031的学生成绩。……