摘 要：针对WEB应用安全问题中最常见到的SQL注入攻击，本文对攻击的原理、手段和过程做了介绍和剖析，并针对SQL注入的特点指出了对于提高网站安全的策略。

关键词：SQL注入；WEB安全；网站防护措施

引言

近年来，WEB应用成为了人们日常生活、工作、学习中必不可少的工具和信息来源，随之而来的是信息安全问题层出不穷。2016年国内某专业信息安全平台被发现存在SQL注入漏洞，导致大量用户信息被泄露。由于绝大多数当今网站都是通过数据库存储用户信息和网站数据，这导致SQL注入攻击成为网站最常见到的安全风险来源之一。

1.SQL注入攻击原理

SQL注入攻击是通过操作输入来修改SQL语句，用以达到执行代码对WEB服务器进行攻击的方法。简单的说就是在post/get web表单、输入域名或页面请求的查询字符串中插入SQL命令，最终使web服务器执行恶意命令的过程。可以通过一个例子简单说明SQL注入攻击。

假设某网站页面显示时URL 为http：//www.example.com？test=123，此时URL实际向服务器传递了值为123的变量test，这表明当前页面是对数据库进行动态查询的结果。由此，我们可以在URL中插入恶意的SQL语句并进行执行。另外，在网站开发过程中，开发人员使用动态字符串构造SQL语句，用来创建所需的应用，这种情况下SQL语句在程序的执行过程中被动态的构造使用，可以根据不同的条件产生不同的SQL语句，比如需要根据不同的要求来查询数据库中的字段。这样的开发过程其实为SQL注入攻击留下了很多的可乘之机。

2.SQL注入攻击……