仇善梁

（江苏省扬州商务高等职业学校，江苏扬州 225000）

开发者视角下网站SQL注入漏洞及防范

仇善梁

（江苏省扬州商务高等职业学校，江苏扬州 225000）

通过对网站SQL注入漏洞的成因和常见类型进行分析，在代码编写层面提出六点防范措施，帮助开发者尽量从源头上杜绝此类安全漏洞，避免重复劳动，提高网站运行的安全性。

SQL注入；漏洞；攻击

0 引言

随着计算机技术和网络技术的高速发展，信息化给人们的工作、生活和学习带来了极大的便利，与此同时，网络信息安全也成为信息社会的重要话题。网络信息安全包含很多领域，其中网站的安全是其重要内容之一。根据国家互联网应急中心发布的《2015年中国互联网网络安全报告》显示，2015年我国境内被篡改的网站数量为24 550个，其中政府网站有898个；被植入后门的网站数量为75 028个，其中政府网站有3 514个[1]。SQL注入漏洞是网站漏洞的重要形式之一，也是危害性比较大的漏洞之一，2015年某市人才网因存在SQL注入漏洞，导致240万条个人信息被泄露，这充分说明当前网站的信息安全形势比较严峻。

1 漏洞成因及常见方式

软件漏洞是指软件生命周期中涉及安全的设计错误、编码缺陷和运行故障等[2]。SQL语言是目前数据库使用的主流操作语言，SQL注入攻击也是最常见的Web攻击手段之一。所谓SQL注入漏洞，是指应用程序未对用户输入的内容进行充分的有效性和合法性验证，导致非法用户在URL查询字符串或表单提交的数据字段中插入特殊字符，从而可以动态构造出非法的SQL语句，在数据库正常执行后，实现SQL注入[3]，从而达到窃取数据、绕过验证或破坏数据等目的。……