宫鼎

摘要：首先阐述了SQL入注攻击的产生原因与操作过程；接着针对有转义字符漏洞的网站进行SQL注入攻击挖掘，针对有数据库代码编译漏洞的网站进行注入攻击挖掘，并做了相应的分析；最后阐述了注入攻击的危害，归纳总结了针对注入攻击的防御措施，以提高网站数据信息的安全性。

关键词：安全漏洞；数据库；注入攻击；密钥；SQL

中图分类号：TP39 文献标识码：A 文章编号：1009-3044（2015）28-0003-03

Research of SQL Injection Attack and Prevention Technology based on Web Application

GONG Ding

（Nanjing Communications Institute of Technology ，Nanjing 211188， China）

Abstract：First， described the reasons and the operation process for the SQL injection attack ；then tested the side which has Esc vulnerabilities ，tested and analyzed the side which has database code compilation vulnerabilities ； Finally， described the damage of the injection attack ，summed up the defense against injection attacks， in order to improve the security of the site data information.

Key words： security vulnerabilities； database； injection attacks； encryption key； SQL

1 概述

随着电子商务、网络教育等各种网站智能服务的发展，Web服务应用深入到千家万户的同时也受到了越来越多的攻击者的关注[1]。目前的Web应用服务已经可以实现动态页面交互功能，甚至还可以与网站系统的数据库直接通信，利用该数据库进行指定内容的动态生成。但是由于编写网页应用程序的人员的水平及开发经验的不同，其中一部分程序员在编写网页代码时，并未对用户输入到网站中的指令代码的合法性进行检验，使这些网页的交互程序存在一定的安全隐患。OWASP全球最有影响力的网页安全研究组织，发布了十个最严重的网页应用安全风险，其中SQL注入攻击的安全风险名列前茅，其对应着对互联网中危害较大的安全漏洞[2]。

2 SQL注入攻击产生的原因

SQL注入是指用户向网站输入一段该系统数据库的查询代码，根据客户端输入的程序，网站将结果返回给该用户，使其可以获得某些想得知的数据信息的操作过程。而造成可进行注入攻击的原因主要有如下几个方面：