基本漏洞原理及防御（1）-sql注入

sql注入：

在owasp漏洞中排名第一的是注入，而注入中最为广泛多用的是sql注入。

sql注入漏洞的发生原理：应用传入服务器的参数未经查证就被带入数据库进行操作。

sql注入漏洞的利用原理：在检查不严的地方，或是服务器信任的注入点，将我们希望数据库服务器执行的恶意操作，以参数的形式传入。服务器后台解析后，将恶意代码执行，可以实现非法查询，盗用信息，绕过登录，甚至利用存储权限提权开后门。

sql注入的危害：非法查询，信息盗取，登录绕过，后门和提权。

sql注入漏洞的防御：漏洞产生的原理就是恶意代码拼接没有被服务器识别转义掉，所以在需要输入的动态窗口添加过滤，将相关的sql查询语句列为过滤对象即可。

sql注入针对后台数据库表单的数据类型，分为字符型和数字型两种注入。可以在注入点利用and语句和页面的返回情况判断

后续攻击情况不再赘述，无非是猜测回显位，利用回显位盗取信息。或者直接利用登录窗口的and操作绕过登录。或者是利用写入权限拿取后门来提权。