李虎军

摘要：针对动态网页生成时存在的安全漏洞，该文简要介绍了网站SQL注入攻击的原理、攻击常用方法，并在此基础上对如何防范对目标网站数据库系统进行注入攻击给出了一些防御方法，以期抵御网站所受的注入攻击，更好地保护Web网站安全和应用。

关键词：网站； SQL注入；攻击；数据库系统

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2016）08-0001-03

随着互联网的飞速发展，对网站进行SQL注入攻击的事件层出不穷。2009年2月，据称罗马尼亚黑客团伙利用数据库注入攻击技术分别攻击了F-Secure、BT.com、CNET.com等知名网站。为美国1万多家公司提供工资服务的美国PayChoice公司，在受到网站SQL注入攻击后暂时被迫关闭其全部网站。Open Web Application Security Project Top 10 for 2013报告称，注入漏洞攻击已成为十大网站攻击之首。

1 网站SQL注入攻击原理

网站SQL注入攻击，是别有用心的人先使用搜索引擎定位网页中包含的动态ASP脚本，测试目标网站的网页脚本是否存在数据库注入漏洞并确定注入点，最终试图遍历目标网站后台数据库的所有文本字段，获取目标数据库中用户名和密码，进而非法登录目标网站计算机系统，达到恶意目的。一旦攻击得逞，被攻击站点就会被入侵、泄密、破坏，甚至也可能成为恶意软件的分发点。网站注入攻击以网站数据库为目标，一般利用Web应用程序对特殊字符串过滤不完全的缺陷，通过精心构造的字符串达到非法访问网站数据库内容或在数据库中执行命令的目的。

假设有语句str="SELECT * FROM user WHERE name=' "+username+" ' and pwd=' "+PassWord+" '； " ，该语句含义是：将用户输入……