sq

sql设置取值在0到100如下操作。1、首先在打开的软件中，在MicrsoftSQLServer中，整数存储的数据类型是Int，Smallint和Tinyint。2、使用Smallint数据类型时，存储数据的范围从-32768到32767（每一个值要求2个字节存储空间）。3、使用Tinyint数据类型时，存储数据的范围是从0到255（每一个值要求1个字节存储空间）。

要看你是要存储什么样的数据, 但是我一般看书上都是用的 varchar(30)

sql中定义年龄可以用的用数据类型及长度：1、char(3)：长度为3的字符串。小于10位且长度基本固定的字符串用char。2、varchar(3)：长度为3的字符串。长度大于10的用varchar，varcha在10以内占用空间比char大。3、int：长度为4个字节，存储从(-2147483648)到(2147483647)。4、Smallint：长度为2个字节，存储从-32768到32767。5、tinyint：长度为1个字节，存储0到255的数字。扩展资料：sql函数UCASE(c)将某个域转换为大写LCASE(c)将某个域转换为小写MID(c,start[,end])从某个文本域提取字符LEN(c)返回某个文本域的长度INSTR(c,char)返回在某个文本域中指定字符的数值位置LEFT(c,number_of_char)返回某个被请求的文本域的左侧部分ROUND(c,decimals)对某个数值域进行指定小数位数的四舍五入参考资料来源：百度百科-结构化查询语言

(-32,768) 到 215 (32,767)之间的Int都可以存储的。

int占4字节 smallint占两字节 tinyint占1字节

smallint 的范围是 -32768~32767

sqlsmallint数据类型怎么添加数据参考以下方法SQL语句插入 smallint 类型的数据关于smallint类型的值只要输入1位 却插不到表中.SQL codeINSERT INTO student_Info(stu_ID,stu_Year) VALUES(001,3)stu_ID 是 char(8) (主键)stu_Year 是 smallint

n.网络短整型;无等价的数据类型; 一、读音：英 ["su026ampl]，美 ["su026ampl] 二、例句：IneachcavetheyconstructedfiveScarcitybeds.他们在每间窑洞里做了5个简单的床。三、词汇用法：1、smallint用作形容词，基本意思是“简单的，易懂的”，侧重于事物不复杂，易于迅速解决或很快被头脑接受。Scarcity也可作“朴素的，简朴的”解，一般指生活过得简朴。simple引申可指人“头脑简单的，易受骗的；迟钝的”或事物“结构单一的，非复合的”解。smallint在作“结构单一的，非复合的”“纯粹的，单纯的，完全的”解时，没有比较级和最高级形式。扩展资料：近义词：basic一、意思：adj. 基本的；基础的；初级的；含硅少的n. 基础；根本；[计]BASIC语言二、读音：英 ["beu026asu026ak]，美 ["beu026asu026ak] 三、例句：Hisresearchformedthebasicofhisnewbook.他的研究成果构成了这本新书的基础。四、词汇用法：1、basic的基本意思是“基本的，基础的”，常指现实中真正必要的以及得以公认的或符合标准规范的事物。2、basic带有起点性质，可用来修饰抽象概念，也可用做具体事物，可用作定语、表语，常与to连用。

sql中smallint表示 从-2^15 到 2^15-1 (也就是 (-32,768) ~~~32,767)之间的数字~~~望采纳~~！

=====================》》》可以用numeric或者decimal试试比较常用的。

补充一下：SMALLINT [UNSIGNED] 带符号的范围是-32768到32767。无符号的范围是0到65535。其他的 badkano 说的都没什么问题了......

smallint不用指定长度，把后边的(6)去掉就OK。非要加长度的话，你可以设置类型为number(6,0)效果就是存储6位整数，后边无小数部分。

从 -2^15 (-32,768) 到 2^15 - 1 (32,767)smallint(3) 和 smallint 长度是一样的，不同的是：smallint(3)类型的，如果从数据库中取出的少于3位，自动用空格填补

存储大小为8个字节。int从-2^31(-2,147,483,648)到2^31-1(2,147,483,647)的整型数据（所有数字）。存储大小为4个字节。int的SQL-92同义字为integer。smallint从-2^15(-32,768)到2^15-1(32,767)的整型数据。存储大小为2个字节。tinyint从0到255的整型数据。存储大小为1字节。扩展资料：MicrosoftSQLServer是一个全面的数据库平台，使用集成的商业智能(BI)工具提供了企业级的数据管理。MicrosoftSQLServer数据库引擎为关系型数据和结构化数据提供了更安全可靠的存储功能，使您可以构建和管理用于业务的高可用和高性能的数据应用程序。具有使用方便可伸缩性好与相关软件集成程度高等优点，可跨越从运行MicrosoftWindows98的膝上型电脑到运行MicrosoftWindows2012的大型多处理器的服务器等多种平台使用。

比access数据类型多，你安装数据库后数数就知道了

直接用studio可视化修改就行了啊,比较方便初学者用.

SQL数据类型有以下这些：1、二进制数据类型。二进制数据包括 Binary、Varbinary 和 ImageBinary 数据类型既可以是固定长度的(Binary),也可以是变长度的。Binary[(n)] 是 n 位固定的二进制数据。其中，n 的取值范围是从 1 到 8000。其存储空间的大小是 n + 4 个字节。Varbinary[(n)] 是 n 位变长度的二进制数据。其中，n 的取值范围是从 1 到 8000。其存储空间的大小是 n + 4个字节，不是n 个字节。2、字符数据类型。字符数据类型包括char、varchar和text。字符数据是由字母、符号和数字的任意组合组成的数据。varchar是可变长度字符数据，其长度不超过8kb。char是最大长度为8kb的固定长度字符数据。超过8kb的ASCII数据可以使用文本数据类型存储。3、Unicode 数据类型。Unicode数据类型包括nchar、nvarchar和ntext。在Microsoft SQL Server中，传统的非Unicode数据类型允许使用由特定字符集定义的字符。在安装SQL Server期间，允许选择字符集。在Unicode标准中，包含由各种字符集定义的所有字符。使用Unicode数据类型占用的空间是使用非Unicode数据类型的两倍。4、日期和时间数据类型。日期和时间数据类型包括 Datetime 和 Smalldatetime两种类型。日期和时间数据类型由有效的日期和时间组成。例如，有效的日期和时间数据包括“4/01/98 12:15:00:00:00 PM”和“1:28:29:15:01AM 8/17/98”。前一个数据类型是日期在前，时间在后。后一个数据类型是时间在前，日期在后。在 Microsoft SQL Server中，日期和时间数据类型包括Datetime 和 Smalldatetime 两种类型时，所存储的日期范围是从 1753 年 1 月 1 日开始，到9999 年12 月 31 日结束(每一个值要求 8 个存储字节)。5、数字数据类型。数字数据只包含数字。数字数据类型包括正数和负数、小数（浮点）和整数。整数由正整数和负整数组成，如39、25、0-2和33967。在Microsoft SQL Server中，存储在整数中的数据类型是int、smallint和tinyint。int数据类型存储的数据多于smallint数据类型，而smallint数据类型存储的数据多于tinyint数据类型。使用int数据类型存储数据的范围从-2 147 483 648到2 147 483 647（每个值需要四个字节的存储空间）。6、货币数据类型。在 Microsoft SQL Server 中，货币数据的数据类型是Money 和 SmallmoneyMoney数据类型要求 8 个存储字节，Smallmoney 数据类型要求 4 个存储字节。参考资料来源：百度百科-SQL数据类型

全集的资源

· TINYINT[(M)] [UNSIGNED] [ZEROFILL]很小的整数。带符号的范围是-128到127。无符号的范围是0到255。==以上引用自Mysql帮助文档==有无符号表示，有没有数字前面的正负号：+ -

smallint小整形

MySQL的备份方式，目前我想到的有五种，有可能还有 1，mysqldump方式，加上具体参数名（单库，多库，触发器，存储过程，表结构，字符集，single-transaction，等等） 2，mysqlhotcopy 只能备份myisam数据表备份，速度相当快，因为是文件拷贝，可能瞬间被锁表 MySQL的备份方式，目前我想到的有五种，有可能还有 1，mysqldump方式，加上具体参数名（单库，多库，触发器，存储过程，表结构，字符集，u2013single-transaction，等等）2，mysqlhotcopy 只能备份myisam数据表备份，速度相当快，因为是文件拷贝，可能瞬间被锁表，任何的数据操作，比如插入和更新都会挂起。3，LVM的快照功能进行数据库分区的备份，这种方法是利用的逻辑卷的镜像功能，对整个分区进行在线备份，这种备份数据量大，而且备份性能低下，因为每次备份都是整个镜像，不能针对数据做备份。桶装备份4，开启二进制同步日志功能，主从复制，从机器做备份功能。5，在线的热备份，采用开源的 Xtrabackup 备份工具对innodb 数据表进行在线备份，测试阶段。下面是备份的xtrabackup的测试例子。[@root.localhost.nova ~]# /usr/bin/innobackupex-1.5.1 u2013user=rootu2013defaults-file=/home/mysql/my.cnf u2013socket=/home/mysql/mysql.socku2013database=serverinfo u2013slave-info u2013stream=tar /root/ |gzip >/root/bak_mysql.tar.gzInnoDB Backup Utility v1.5.1-xtrabackup; Copyright 2003, 2009 Innobase Oy.All Rights Reserved.This software is published underthe GNU GENERAL PUBLIC LICENSE Version 2, June 1991.IMPORTANT: Please check that the backup run completes successfully.At the end of a successful backup run innobackupprints “innobackup completed OK!”.innobackupex: Using mysql Ver 14.12 Distrib 5.0.83, for pc-linux-gnu (i686) using readline 5.1innobackupex: Using mysql server version 5.0.83-community-loginnobackupex: Created backup directory /root090823 17:37:51 innobackupex: Starting mysql with options: u2013unbuffered u2013user=root u2013socket=/home/mysql/mysql.sock090823 17:37:51 innobackupex: Connected to database with mysql child process (pid=28803)090823 17:37:55 innobackupex: Connection to database server closed090823 17:37:55 innobackupex: Starting ibbackup with command:xtrabackup u2013defaults-file=/home/mysql/my.cnf u2013backup u2013suspend-at-endu2013log-stream u2013target-dir=./innobackupex: Waiting for ibbackup (pid=28809) to suspendinnobackupex: Suspend file u2018/home/mysql/xtrabackup_suspendedu2019xtrabackup: suspend-at-end is enabled.xtrabackup: uses posix_fadvise().xtrabackup: cd to /home/mysqlxtrabackup: Target instance is assumed as followings.xtrabackup: innodb_data_home_dir = ./xtrabackup: innodb_data_file_path = ibdata1:10M:autoextendxtrabackup: innodb_log_group_home_dir = ./xtrabackup: innodb_log_files_in_group = 2xtrabackup: innodb_log_file_size = 4194304xtrabackup: Stream mode.>> log scanned up to (0 85364)090823 17:37:57 innobackupex: Continuing after ibbackup has suspendedinnobackupex: Starting to backup InnoDB tables and indexesinnobackupex: from original InnoDB data directory u2018/home/mysqlu2019innobackupex: Backing up as tar stream u2018ibdata1u2032innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_djgameserver.ibdu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_djgameserverlog.ibdu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_repairhistory.ibdu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_serverinfo.ibdu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_serverinfolog.ibdu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_tlgameserver.ibdu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_tlgameserverlog.ibdu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_user.ibdu2019090823 17:37:58 innobackupex: Starting mysql with options: u2013unbuffered u2013user=root u2013socket=/home/mysql/mysql.sock090823 17:37:58 innobackupex: Connected to database with mysql child process (pid=28834)>> log scanned up to (0 85364)090823 17:38:02 innobackupex: Starting to lock all tablesu2026>> log scanned up to (0 85364)>> log scanned up to (0 88314)>> log scanned up to (0 88415)090823 17:38:20 innobackupex: All tables locked and flushed to disk090823 17:38:20 innobackupex: Starting to backup .frm, .MRG, .MYD, .MYI,innobackupex: .TRG, .TRN, and .opt files ininnobackupex: subdirectories of u2018/home/mysqlu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_djgameserver.frmu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_djgameserverlog.frmu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_repairhistory.frmu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_serverinfo.frmu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_serverinfolog.frmu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_tlgameserver.frmu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_tlgameserverlog.frmu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/simsys_user.frmu2019innobackupex: Backing up file u2018/home/mysql/serverinfo/db.optu2019090823 17:38:20 innobackupex: Finished backing up .frm, .MRG, .MYD, .MYI, .TRG, .TRN, and .opt filesinnobackupex: Resuming ibbackupxtrabackup: The latest check point (for incremental): u20180:88415u2032>> log scanned up to (0 88415)xtrabackup: Transaction log of lsn (0 85364) to (0 88415) was copied.090823 17:38:24 innobackupex: All tables unlocked090823 17:38:24 innobackupex: Connection to database server closedinnobackupex: Backup created in directory u2018/rootu2019innobackupex: MySQL binlog position: filename ”, positioninnobackupex: MySQL slave binlog position: master host ”, filename ”, position090823 17:38:24 innobackupex: innobackup completed OK! innobackupex: You must use -i (u2013ignore-zeros) option for extraction of the tar stream.[@root.localhost.nova ~]#[@root.localhost.nova ~]# ls -ltrtotal 11752drwxr-xr-x 2 oracle ftp 4096 Apr 20 15:43 linux-rw-ru2013ru2013 1 root root 17969 Apr 20 15:43 linux.tgz-rw-ru2013ru2013 1 root root 4698 Jun 5 16:08 install.sh-rw-ru2013ru2013 1 root root 3565 Jun 18 11:21 HP-set.sh-rw-ru2013ru2013 1 root root 98676 Jul 27 13:33 install.log.syslog-rw-ru2013ru2013 1 root root 68464 Jul 27 13:33 install.log-rw-ru2013ru2013 1 root root 1299 Jul 27 13:33 anaconda-ks.cfg-rw-rw—- 1 mysql mysql 10485760 Aug 14 10:57 ibdata1-rw-ru2013ru2013 1 root root 1230176 Aug 23 17:12 xtrabackup-0.7-1.rhel4.x86_64.rpm-rw-ru2013ru2013 1 root root 44998 Aug 23 17:38 bak_mysql.tar.gz[@root.localhost.nova ~]#[@root.localhost.nova tmp]# ls -lR.:total 10336-rw-ru2013ru2013 1 root root 259 Aug 23 17:37 backup-my.cnf-rw-ru2013ru2013 1 root root 44998 Aug 23 17:43 bak_mysql.tar.gz-rw-rw—- 1 mysql mysql 10485760 Aug 23 17:28 ibdata1-rw-ru2013ru2013 1 root root 0 Aug 23 17:37 mysql-stderr-rw-ru2013ru2013 1 root root 506 Aug 23 17:38 mysql-stdoutdrwxr-xr-x 2 root root 380 Aug 23 17:43 serverinfo-rw-ru2013ru2013 1 root root 1 Aug 23 17:38 xtrabackup_binlog_info-rw-ru2013ru2013 1 root root 60 Aug 23 17:38 xtrabackup_checkpoints-rw-ru2013ru2013 1 root root 5632 Aug 23 17:38 xtrabackup_logfile-rw-ru2013ru2013 1 root root 53 Aug 23 17:38 xtrabackup_slave_info./serverinfo:total 1020-rw-rw—- 1 mysql mysql 61 Aug 12 19:59 db.opt-rw-rw—- 1 mysql mysql 34626 Aug 12 20:00 simsys_djgameserver.frm-rw-rw—- 1 mysql mysql 98304 Aug 12 20:00 simsys_djgameserver.ibd-rw-rw—- 1 mysql mysql 8760 Aug 12 20:00 simsys_djgameserverlog.frm-rw-rw—- 1 mysql mysql 98304 Aug 12 20:00 simsys_djgameserverlog.ibd-rw-rw—- 1 mysql mysql 12944 Aug 12 20:00 simsys_repairhistory.frm-rw-rw—- 1 mysql mysql 98304 Aug 12 20:00 simsys_repairhistory.ibd-rw-rw—- 1 mysql mysql 26072 Aug 12 20:00 simsys_serverinfo.frm-rw-rw—- 1 mysql mysql 98304 Aug 12 20:00 simsys_serverinfo.ibd-rw-rw—- 1 mysql mysql 8760 Aug 12 20:00 simsys_serverinfolog.frm-rw-rw—- 1 mysql mysql 98304 Aug 12 20:00 simsys_serverinfolog.ibd-rw-rw—- 1 mysql mysql 56550 Aug 12 20:00 simsys_tlgameserver.frm-rw-rw—- 1 mysql mysql 98304 Aug 12 20:00 simsys_tlgameserver.ibd-rw-rw—- 1 mysql mysql 8760 Aug 12 20:00 simsys_tlgameserverlog.frm-rw-rw—- 1 mysql mysql 98304 Aug 12 20:00 simsys_tlgameserverlog.ibd-rw-rw—- 1 mysql mysql 8646 Aug 12 20:00 simsys_user.frm-rw-rw—- 1 mysql mysql 98304 Aug 14 10:57 simsys_user.ibd备份出来的文件是：bak_mysql.tar.gz，解压方法：tar zxvfi bak_mysql.tar.gz恢复时候就采用复制文件，覆盖，然后mysqldump方式导入导出。http://www.imdba.cn/2009/08/31/mysqlbakup-eg/

【MySQL文件】MySQL是一个关系型数据库管理系统，由瑞典MySQL AB 公司开发，目前属于 Oracle 旗下公司。MySQL 最流行的关系型数据库管理系统，在 WEB 应用方面MySQL是最好的 RDBMS (Relational Database Management System，关系数据库管理系统) 应用软件之一。MySQL所使用的 SQL 语言是用于访问数据库的最常用标准化语言。MySQL文件就是SQL文件，里面就是建表语句 以.SQL为后缀。SQL脚本是包含一到多个SQL命令的SQL语句。以将这些SQL脚本放在一个文本文件中(SQL脚本文件)，然后通过相关的命令执行这个SQL脚本文件。【IDB文件】IDB智能数据库系统(multimedia intelligent database system)是一个对象数据库管理系统。智能数据库是研究利用人的推理、想像、记忆原理，实现对数据库的存储、搜索和修改。通过有效的组织，能够满足人们快速检索和修改数据库的要求。IDB文件是一种 MSDev 中间层文件。当IDB文件在IDA打开，数据解压到的文件的集合。后的数据库被关闭时，该文件被压缩回IDB文件。这使得更快的性能，同时在数据库打开和较低的磁盘使用时关闭。< H1 >其他IDB格式： < /H1 >在调试过程中由一个Visual Studio程序中创建的中间文件，如Visual C， 节省了编译器的状态，并用于最小的重建计划和增量编译。【PAR文件】PAR文件为交换文件，主要是Windows环境下的文件名 。绝大多数DOS文件名后缀在Windows下继续有效，但Windows本身也引出了许多种崭新的后缀名，如：*.drv为设备驱动程序(Driver)、*.fon和*.fot都是字库文件、*.grp为分组文件(Group)、*.ini为初始化信息文件 (Initiation)、*.pif为DOS环境下的可执行文件在Windows下执行时所需要的文件格式、*.crd即卡片文件(Card)、*.rec即记录器宏文件(Record)、*.wri即文本文件(Write)，它是字处理write.exe生成的文件、*.doc和*.rtf也是文本文件(Document)，它们是Word产生的文件、*.cal为日历文件、*.clp是剪贴板中的文件格式、*.htm和 *.html即主页文件、*.par为交换文件、*.pwl为口令文件(Password)等等。【FRM文件】FRM文件是文本类型文件，用记事本就可以打开，而且也可以保存。FRM文件扩展名信息：1.表单;2.Frame Maker或Frame Builder文档;3.Oracle可执行表(3.0版或早期版本);4.Visual Basic表单;5.WordPerfect Merge表单;6.DataCAD标志报表文件。

Mysql8.0有着非常亮眼的新特性，其中之一便是数据字典的改变。正如我们使用mysql来存储业务数据，同理，mysql自己也需要存放自己的数据，这部分即称之为元数据。在8.0之前，元数据是以.frm,PAR,OPT,TRN,TRG,isl这几种文件形式或其他形式来存储，这种元数据存储方式在很多场景下成为了一个瓶颈或者缺陷，就像下面提到的六点：（注：frm:表元数据文件，存放表的定义，par:分区定义文件，db.opt:数据库配置文件，isl：innodb符号文件，TRN,TRG：与触发器相关的元数据文件）1.information_schema的性能问题。2.数据字典之间的不同步。在8.0之前，数据字典是处于一个“脑裂”的状态，这是因为innodb有自己的数据字典，server端也有自己的数据字典，这会导致某些元数据重复了，也会导致某些元数据的不一致，所以我们需要一个统一的数据字典。如图1。3.某些元数据不仅以上面提到的几种文件形式存放，还以MyISAM非事务型表存储，这使得数据字典没有统一的格式，难以统一管理。如下图1.图1:8.0版本之前的元数据存放方式4.不支持原子性DDL：一个原子性DDL操作应该是这样的：数据字典更新，存储引擎层的操作，在binlog中记录DDL操作。上面操作是原子性的，表示中间过程出现错误的时候，是可以完整回退的。这在8.0版本之前的DDL操作中是不支持的。因为数据库元信息存放于元信息文件中、非事务性表中以及特定存储引擎的数据字典中。这些都无法保证DDL操作内容在一个事务当中，无法保证原子性。5.崩溃恢复：由于DDL不是原子性的，有可能在DDL执行的中间阶段crash，恢复起来就有点困难，并会对复制造成一定的影响。6.缺乏可扩展性：显而易见，没有统一的数据字典，可扩展性明显低了很多。针对上面提及的这些点，mysql8.0版本推出了一个事务型数据字典来替代以前元数据各种存储方式。可以这么说，8.0的数据字典把上面这些问题都解决了。这就是8.0数据字典为什么改变的原因。reference:http://mysqlserverteam.com/mysql-8-0-data-dictionary-background-and-motivation/Mysql8.0数据字典系列一：为什么改变标签：问题特定bincode扩展性相关原因inf统一

import javax.servlet.ServletException; 2 import javax.servlet.http.HttpServlet; 3 import javax.servlet.http.HttpServletRequest; 4 import javax.servlet.http.HttpServletResponse; 5 6 public class ShowRs extends HttpServlet { 7 8 @Override 9 protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {10 11 Connection conn = null;12 Statement stmt = null;13 ResultSet rs = null;14 15 resp.setContentType("text/html");16 resp.setCharacterEncoding("utf8");17 PrintWriter out = resp.getWriter();18 19 out.println("<table border=1>");20 out.println("<tr><td>Content:</td></tr>");21 22 try {23 Class.forName("com.mysql.jdbc.Driver");24 conn = DriverManager.getConnection("jdbc:mysql://localhost/spring?user=root&password=root");25 stmt = conn.createStatement();26 rs = stmt.executeQuery("select * from teams");27 while (rs.next()) {28 out.println("<tr>");29 out.println("<td>" + rs.getString("name") + "</td>");30 out.println("</tr>");31 }32 out.println("</table>");33 34 } catch (ClassNotFoundException e) {35 // TODO Auto-generated catch block36 e.printStackTrace();37 } catch (SQLException e) {38 // TODO Auto-generated catch block39 e.printStackTrace();40 }41 42 }43 44 }2. 配置web.xml文件，路径在/webapps/test/WEB-INF <servlet> <servlet-name>ShowRs</servlet-name> <servlet-class>ShowRs</servlet-class> </servlet> <servlet-mapping> <servlet-name>ShowRs</servlet-name> <url-pattern>/ShowRs</url-pattern> </servlet-mapping> 3.将mysql-connector-java-xxx.jar加入到/webapps/test/WEB-INF/lib4.打开网页进行测试，显示成功！4.1 数据库表teams原始内容4.2 通过servlet访问的name字段如何使用servlet访问mysql数据库标签：

1。SqlExpress是现在MSSQL产品的免费版..一般装好IDE的时候提示是否安装的~大多数时候的用户是作为开发时候的调试作为服务器有很多限制..比如最大CPU核心使用数量和最大内存使用数量~2。连接 连接符号“.”或者“IP地址”或者“localhost”或者“127.0.01”或者“一个具体的实例名”表示MSSQLServer ".SQLExpress" 表示连接的是SQLExpress（只有一种表示） 如果远程连接MSSQLServer还是SQLExpress都要开启下面服务： 1。SQL Server Browser 2。SQL Server（SQLExpress） 和SQL server（MSSQLServer）开其中一个，根据连接情况 3。SQLExpress和MSSQLServer的协议部分都一样，开启的配置如下： Shared Memory 自动+开启 Name Pipes 自动+开启 TCP/IP 自动+开启二。MSSQLServer是正式版的, SQLExpress是Express版的,功能上有些不一样, 至于你的登录不一样, 设置SQL Express的登录认证方式 打开Microsoft SQL Server Manangement Studio Express。 使用Windows认证方式登录。 选择当前数据库XXSQLExpress(XX表示你当前计算机的名称)，点击右键，选择“属性”。 选择“安全性”，服务器身份验证选择“SQL Server和Windows身份验证模式”。 关于远程连接,也是可以配置的: 解决方式如下： (关于开启Sql Server 2005 Express版本的远程连接功能:1、登陆改为混合模式：以windows方式连接并进入数据库，右键点击你的数据服务器->属性->安全性>选中Sql server 和windows 验证方式。2、启用TCP/IP和Named Pipes：进入Sql Server配置管理器，在网络配置->SqlExpress的协议中启用。3、启用远程连接：sql server外围应用配置器->服务和连接的外围应用配置器->打开MSSQLSERVER节点下的Database Engine 节点，先择"远程连接"，选择"同时使用TCP/IP和named pipes"重启服务，一般这样配置后通过.sqlexpress就能访问数据库了（除非防火墙问题），但如果是在另外一台电脑来访问的话，还是不行（在本机用127.0.0.1sqlexpress也不行）。后来找了n久资料，终于看到要开启Sql Server Browser服务！（在配置管理器->Sql Server 2005服务里面开启）。开启后就能在其他机器上来访问sql了。)在命令行的模式下启动及停止sqlexpress服务:习惯了使用net start及net stop 来启动及停止服务的,装了SQL 2005 EXPRESS版本之后发现,以前的net start mssqlserver和net stop mssqlserver命令来启动和停止服务已经不行了,每回启动/停止05的服务总是得先services.msc后再慢慢找...

SQL Server 2005 服务：第一个选项要启动； 1、开始->程序-->Microsoft SQL Server 2005>配置工具->SQL Server Configuration Manager->SQL Server 2005 网络配置 ->“xxx(您的数据库)”的协议，将“Named Pipes”和“TCP/IP”的状态调成“启用”，方法是在“Named Pipes”和“TCP/IP”上右键查看其属性，在其“协议选项卡”中将“已启用”调成“是”。2 . (TCP/IP 属性选项卡)　　在“TCP/IP ”属性选项卡的“IP 地址”选项卡进行如下设置　　将“IP1”模块下的“IP”地址填写为您本机的IP地址　　将“TCP 动态端口”设为空(默认为0，改为空)　　将“TCP 端口”填写为“1433”(如果您服务器上有共存数据库，请赋给他们不同的TCP端口，写连接字符串是为其带上各自的端口号)　　将“活动”项和“已启用”项设为“是” * 如果用ip连接，IPAL1 的TCP端口也要设置为同样的端口；　　点击“确定”将以上设置保存就可以用IP来访问SQL Server 2005数据库了。3、Microsoft SQL server 2005————配置工具——SQL server 2005 外围应用配置器 选择服务和连接的外围应用配置器如图所示，选择同时使用TCP/IP和named pipes，应用，确定。然后再重启一次服务，一般就可以了。4。如果还不行，可以先用计算机名登陆到数据库，单击右键，选择属性。安全性选项中 选择SQL server和windows身份验证模式；连接中选择允许远程连接到此服务器。5、把本机的SQL数据库设置为服务器：要把防火墙关闭，如果还不行就把来宾用户打开；如果不想关闭防火墙，就在例外里面加上端口1433；

您好，您这样：一、配置任务：1、SQL Server 配置附案例七可以通过开始菜单栏中的【SQL Server 2配置管理器】打开，或者通过在命令提示下输入sqlservermanager.msc命令来打开。2、首先打开SQL Server 配置管理器，查看列出的与SQL Server 2008相关的服务，选择服务名并右键单击弹出的快捷菜单中选择【属性】命令进行配置。在右键单击SQL Server（MSSQLSERVER）弹出的【SQL Server（MSSQLSERVER属性）】对话框。在【登录】选项卡中设置服务的登录身份，是使用本地系统账户还是指定的账户。3、却换到【服务】选项卡可以设置SQL Server （MSSQLSERVER）服务的启动模式，可以选项有“自动”、“手动”、“禁用”，用户可以根据需要进行更改。二、网络配置：1、SQL Server 2008能使用多种协议，包括Shared Memory、Named Pipes、TCP/IP和VIA.所有这些协议都有独立的服务器和客户端配置。通过SQL Server网络配置可以为每一个服务器实例独立地设置网络配置。2、在【SQL Server配置管理器】窗口中，单击左侧的【SQL Server 网络配置】节点，在窗口右侧显示出所有SQL Server 服务器中所使用的协议，右键单击协议名称，在弹出的快捷菜单中选择【属性】菜单项，在弹出来的对话框中进行设置启用或者禁用操作，设置Shared Memory协议的对话框，窗口右侧所列个协议的作用如下。3、Shared Memory协议：Shared Memory协议仅用于本地连接，如果该协议被启用，任何本地客户都可以使用此协议连接服务器。如果不希望本地客户使用Shared Shared Memory协议，则可以禁用。4、Name Pipes协议：Name Pipes协议主要用于Windows 2008以前版本的操作系统的本地连接以及远程连接。TCP/IP协议：TCP/IP协议是通过本地或远程连接到SQL Server的首选协议。使用TCP/IP协议时，SQL SERVER在指定的TCP端口和IP地址侦听已响应它的请求。5、VIA协议：如果同一计算机上安装有两个或多个SQL Server实例，则VIA连接可能会不明确。VIA协议启用后，将尝试使用TCP/IP设置，并侦听端口0:1433。对于不允许配置端口的VIA驱动程序，两个SQL Server实例均将侦听同一端口。三、本地客户端协议配置：1、通过SQL Native Client（本地客户端协议）配置可以启用或禁用客户端应用程序使用的协议。查看客户端协议配置情况的方法是，在对话框中展开【SQL Native Client配置】节点，在进入的信息窗格中显示了协议的名称以及客户端尝试连接到服务器是尝试使用的协议的顺序，用户还可以查看协议是否以启用或以禁用并获得有关协议文件的详细信息。2、在默认的情况下 Share Memory协议总是首选的本地连接协议。要改变协议顺序可右键单击协议，在弹出来的快捷菜单中选择【顺序】命令，在弹出来的【客户协议属性】对话框中进行设置，从【启动的协议】列表中单击选择一个协议，然后通过右侧的两个按钮来调整协议向上或向下移动。

一、配置任务：1、SQL Server 配置附案例七可以通过开始菜单栏中的【SQL Server 2配置管理器】打开，或者通过在命令提示下输入sqlservermanager.msc命令来打开。2、首先打开SQL Server 配置管理器，查看列出的与SQL Server 2008相关的服务，选择服务名并右键单击弹出的快捷菜单中选择【属性】命令进行配置。在右键单击SQL Server（MSSQLSERVER）弹出的【SQL Server（MSSQLSERVER属性）】对话框。在【登录】选项卡中设置服务的登录身份，是使用本地系统账户还是指定的账户。3、却换到【服务】选项卡可以设置SQL Server （MSSQLSERVER）服务的启动模式，可以选项有“自动”、“手动”、“禁用”，用户可以根据需要进行更改。二、网络配置：1、SQL Server 2008能使用多种协议，包括Shared Memory、Named Pipes、TCP/IP和VIA.所有这些协议都有独立的服务器和客户端配置。通过SQL Server网络配置可以为每一个服务器实例独立地设置网络配置。2、在【SQL Server配置管理器】窗口中，单击左侧的【SQL Server 网络配置】节点，在窗口右侧显示出所有SQL Server 服务器中所使用的协议，右键单击协议名称，在弹出的快捷菜单中选择【属性】菜单项，在弹出来的对话框中进行设置启用或者禁用操作，设置Shared Memory协议的对话框，窗口右侧所列个协议的作用如下。3、Shared Memory协议：Shared Memory协议仅用于本地连接，如果该协议被启用，任何本地客户都可以使用此协议连接服务器。如果不希望本地客户使用Shared Shared Memory协议，则可以禁用。4、Name Pipes协议：Name Pipes协议主要用于Windows 2008以前版本的操作系统的本地连接以及远程连接。TCP/IP协议：TCP/IP协议是通过本地或远程连接到SQL Server的首选协议。使用TCP/IP协议时，SQL SERVER在指定的TCP端口和IP地址侦听已响应它的请求。5、VIA协议：如果同一计算机上安装有两个或多个SQL Server实例，则VIA连接可能会不明确。VIA协议启用后，将尝试使用TCP/IP设置，并侦听端口0:1433。对于不允许配置端口的VIA驱动程序，两个SQL Server实例均将侦听同一端口。三、本地客户端协议配置：1、通过SQL Native Client（本地客户端协议）配置可以启用或禁用客户端应用程序使用的协议。查看客户端协议配置情况的方法是，在对话框中展开【SQL Native Client配置】节点，在进入的信息窗格中显示了协议的名称以及客户端尝试连接到服务器是尝试使用的协议的顺序，用户还可以查看协议是否以启用或以禁用并获得有关协议文件的详细信息。2、在默认的情况下 Share Memory协议总是首选的本地连接协议。要改变协议顺序可右键单击协议，在弹出来的快捷菜单中选择【顺序】命令，在弹出来的【客户协议属性】对话框中进行设置，从【启动的协议】列表中单击选择一个协议，然后通过右侧的两个按钮来调整协议向上或向下移动。

SQl Server 配置管理器（简称为配置管理器）包含了SQL Server 2008服务、SQL Server 2008网络配置和SQL Native Client配置3个工具，供数据库管理人员做服务器启动停止与监控、服务器端支持的网络协议配置、用户访问SQL Server 的网络相关设置等工作。工具/原料SQL Server 2008管理器配置服务1SQL Server 配置附案例七可以通过开始菜单栏中的【SQL Server 2配置管理器】打开，或者通过在命令提示下输入sqlservermanager.msc命令来打开。2首先打开SQL Server 配置管理器，查看列出的与SQL Server 2008相关的服务，选择服务名并右键单击弹出的快捷菜单中选择【属性】命令进行配置。在右键单击SQL Server（MSSQLSERVER）弹出的【SQL Server（MSSQLSERVER属性）】对话框。在【登录】选项卡中设置服务的登录身份，是使用本地系统账户还是指定的账户。3却换到【服务】选项卡可以设置SQL Server （MSSQLSERVER）服务的启动模式，可以选项有“自动”、“手动”、“禁用”，用户可以根据需要进行更改。END网络配置1SQL Server 2008能使用多种协议，包括Shared Memory、Named Pipes、TCP/IP和VIA.所有这些协议都有独立的服务器和客户端配置。通过SQL Server网络配置可以为每一个服务器实例独立地设置网络配置。2在【SQL Server配置管理器】窗口中，单击左侧的【SQL Server 网络配置】节点，在窗口右侧显示出所有SQL Server 服务器中所使用的协议，右键单击协议名称，在弹出的快捷菜单中选择【属性】菜单项，在弹出来的对话框中进行设置启用或者禁用操作，设置Shared Memory协议的对话框，窗口右侧所列个协议的作用如下。3Shared Memory协议：Shared Memory协议仅用于本地连接，如果该协议被启用，任何本地客户都可以使用此协议连接服务器。如果不希望本地客户使用Shared Shared Memory协议，则可以禁用。4Name Pipes协议：Name Pipes协议主要用于Windows 2008以前版本的操作系统的本地连接以及远程连接。5TCP/IP协议：TCP/IP协议是通过本地或远程连接到SQL Server的首选协议。使用TCP/IP协议时，SQL SERVER在指定的TCP端口和IP地址侦听已响应它的请求。6VIA协议：如果同一计算机上安装有两个或多个SQL Server实例，则VIA连接可能会不明确。VIA协议启用后，将尝试使用TCP/IP设置，并侦听端口0:1433。对于不允许配置端口的VIA驱动程序，两个SQL Server实例均将侦听同一端口。END本地客户端协议配置通过SQL Native Client（本地客户端协议）配置可以启用或禁用客户端应用程序使用的协议。查看客户端协议配置情况的方法是，在对话框中展开【SQL Native Client配置】节点，在进入的信息窗格中显示了协议的名称以及客户端尝试连接到服务器是尝试使用的协议的顺序，用户还可以查看协议是否以启用或以禁用并获得有关协议文件的详细信息。2在默认的情况下 Share Memory协议总是首选的本地连接协议。要改变协议顺序可右键单击协议，在弹出来的快捷菜单中选择【顺序】命令，在弹出来的【客户协议属性】对话框中进行设置，从【启动的协议】列表中单击选择一个协议，然后通过右侧的两个按钮来调整协议向上或向下移动。END注意事项学会独立安装SQL Server 2008在安装好的数据库服务器中启动 SQL Server注册服务器了解SQL Server Management Studio 的功能特点SQL Server Profier工具的主要作用有哪些

你是在项目中连接还是怎么连接，请详细说明你的问题

一、配置任务：1、SQL Server 配置附案例七可以通过开始菜单栏中的【SQL Server 2配置管理器】打开，或者通过在命令提示下输入sqlservermanager.msc命令来打开。2、首先打开SQL Server 配置管理器，查看列出的与SQL Server 2008相关的服务，选择服务名并右键单击弹出的快捷菜单中选择【属性】命令进行配置。在右键单击SQL Server（MSSQLSERVER）弹出的【SQL Server（MSSQLSERVER属性）】对话框。在【登录】选项卡中设置服务的登录身份，是使用本地系统账户还是指定的账户。3、却换到【服务】选项卡可以设置SQL Server （MSSQLSERVER）服务的启动模式，可以选项有“自动”、“手动”、“禁用”，用户可以根据需要进行更改。二、网络配置：1、SQL Server 2008能使用多种协议，包括Shared Memory、Named Pipes、TCP/IP和VIA.所有这些协议都有独立的服务器和客户端配置。通过SQL Server网络配置可以为每一个服务器实例独立地设置网络配置。2、在【SQL Server配置管理器】窗口中，单击左侧的【SQL Server 网络配置】节点，在窗口右侧显示出所有SQL Server 服务器中所使用的协议，右键单击协议名称，在弹出的快捷菜单中选择【属性】菜单项，在弹出来的对话框中进行设置启用或者禁用操作，设置Shared Memory协议的对话框，窗口右侧所列个协议的作用如下。3、Shared Memory协议：Shared Memory协议仅用于本地连接，如果该协议被启用，任何本地客户都可以使用此协议连接服务器。如果不希望本地客户使用Shared Shared Memory协议，则可以禁用。4、Name Pipes协议：Name Pipes协议主要用于Windows 2008以前版本的操作系统的本地连接以及远程连接。TCP/IP协议：TCP/IP协议是通过本地或远程连接到SQL Server的首选协议。使用TCP/IP协议时，SQL SERVER在指定的TCP端口和IP地址侦听已响应它的请求。5、VIA协议：如果同一计算机上安装有两个或多个SQL Server实例，则VIA连接可能会不明确。VIA协议启用后，将尝试使用TCP/IP设置，并侦听端口0:1433。对于不允许配置端口的VIA驱动程序，两个SQL Server实例均将侦听同一端口。三、本地客户端协议配置：1、通过SQL Native Client（本地客户端协议）配置可以启用或禁用客户端应用程序使用的协议。查看客户端协议配置情况的方法是，在对话框中展开【SQL Native Client配置】节点，在进入的信息窗格中显示了协议的名称以及客户端尝试连接到服务器是尝试使用的协议的顺序，用户还可以查看协议是否以启用或以禁用并获得有关协议文件的详细信息。2、在默认的情况下 Share Memory协议总是首选的本地连接协议。要改变协议顺序可右键单击协议，在弹出来的快捷菜单中选择【顺序】命令，在弹出来的【客户协议属性】对话框中进行设置，从【启动的协议】列表中单击选择一个协议，然后通过右侧的两个按钮来调整协议向上或向下移动。

1，在安装时已经选择“混合模式(sqlserver身份验证和windows身份验证)(m)”，否则请使用sqlserver身份验证2，开始菜单->所有程序->microsoftsqlserver2008->配置工具->sqlserver配置管理器->网络配置->mssqlserver2008->双击“tcp/ip”->协议->已启用->选“是”sqlserver配置管理器->网络配置->mssqlserver2008->双击“tcp/ip”->ip地址->ipall->tcp端口->输入"1433"点击确定3，开始菜单->所有程序->microsoftsqlserver2008->配置工具->sqlserver配置管理器->sqlserver服务->sqlserver(mssqlserver2008)->右键重新启动4，在命令行下输入netstat–an，如果找到有“127.0.0.1:1433”，就说明sqlserver在监听了。5，操作系统->安全中心->windows防火墙->例外->添加程序。例如下。具体看你安装在什么路径了。c:programfilesmicrosoftsqlserver90sharedsqlbrowser.exec:programfilesmicrosoftsqlservermssql10.mssqlservermssqlinnsqlservr.exe6，操作系统->安全中心->windows防火墙->例外->添加端口14337，重启服务器。

在快速局域网 (LAN) 环境中，传输控制协议或 Internet 协议 (TCP/IP) 套接字客户端和 Named Pipes 客户端在性能方面不相上下。但是，网络速度越慢[如在广域网 (WAN) 或拨号网络上]，TCP/IP 套接字客户端与 Named Pipes 客户端的性能差异越明显。这是因为进程间通信 (IPC) 的机制在对等项间的通信方式不同。对于 Named Pipes，通常网络通信交互性更强。一个对等方直到另一个对等方使用读取命令请求数据时才发送数据。在开始读取数据前，网络读取一般包括一系列窥视 Named Pipes 的信息。这在慢速网络中可能开销非常大，并会导致过多的网络流量，其他的网络客户端反过来也会受到影响。阐明所讨论的是本地管道还是网络管道也很重要。如果服务器应用程序在运行 SQL Server 实例的计算机的本地运行，则可以选择本地 Named Pipes 协议。本地 Named Pipes 以内核模式运行且速度非常快。对于 TCP/IP 套接字，数据传输的效率更高，开销也更少。数据传输还可以利用 TCP/IP 套接字性能增强机制的优点，例如窗口化、延迟确认等。这在慢速网络中可能非常有益。对于应用程序的不同类型，这类性能差异可能非常大。TCP/IP 套接字还支持积压队列。试图连接到 SQL Server 时，与可能导致管道忙错误的 Named Pipes 相比，该队列可以带来有限的平稳效果。通常，TCP/IP 在慢速 LAN、WAN 或拨号网络中效果较好。而当网络速度不成问题时，Named Pipes 则是更好的选择，因为其功能更强、更易于使用并具有更多的配置选项。

实质上的，事实上的; （计算机）虚拟的; <物>有效的，虚像的; （粒子）实际存在的; 在sql中一般翻译成：虚拟的

111

自己写的:1. Create DataBase shopping USE shopping --如果只是在这题中的话,这句可以不要.2. ⑴ Create Table param ( param_id INT IDENTITY(1,1) NOT NULL PRIMARY KEY, param_name VARCHAR(30) ) insert into param VALUES("日用品") insert into param VALUES("电器") insert into param VALUES("食品") insert into param VALUES("其它") ⑵ Create Table goods ( goods_id INT IDENTITY(1,1) NOT NULL PRIMARY KEY, goods_name Varchar(30), goods_type INT FOREIGN KEY REFERENCES param ( param_id ), price Float, init_num INT, Remark NVARCHAR(300) ) insert into goods VALUES("冰箱",2,100,0,"") insert into goods VALUES("话梅",3,3,0,"") ⑶ Create Table goods_out ( goods_out_id INT IDENTITY(1,1) NOT NULL PRIMARY KEY , goods_id INT FOREIGN KEY REFERENCES goods ( goods_id ), OutQty FLOAT, OutDate DATETIME, Remark NVARCHAR(300) )3. SELECT * FROM goods4. SELECT A.* FROM goods A LEFT JOIN param B ON A.goods_type=B.param_id WHERE B.param_name="日用品"5. Select * From Goods WHERE goods_id Not In (Select goods_id From goods_out)6. Select A.goods_name,ISNULL(A.init_num-B.OutQty,0) As [库存数量] FROM goods A Left Join (Select goods_id,ISNULL(Sum(OutQty),0) As OutQty From goods_out GROUP BY goods_id) B ON A.goods_id=B.goods_id7. Select A.* FROM goods A INNER Join (Select goods_id,MAX(OutQty) As OutQty From goods_out GROUP BY goods_id) B ON A.goods_id=B.goods_id

定义一个SqlParameter这个类型的一个数组 叫param

【答案】：DSQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求查询字符串，最终达到欺骗服务器执行恶意SQL命令。攻击者通过SQL注入攻击可以拿到数据库访问权限，之后就可以拿到数据库中所有数据。

转：就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。[1] 比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击

　　好在要防止ASP.NET应用被SQL注入式攻击闯入并不是一件特别困难的事情，只要在利用表单输入的内容构造SQL命令之前，把所有输入内容过滤一番就可以了。过滤输入内容可以按多种方式进行。　　⑴ 对于动态构造SQL查询的场合，可以使用下面的技术:　　第一:替换单引号，即把所有单独出现的单引号改成两个单引号，防止攻击者修改SQL命令的含义。再来看前面的例子，“SELECT * from Users WHERE login = """ or ""1""=""1" AND password = """ or ""1""=""1"”显然会得到与“SELECT * from Users WHERE login = "" or "1"="1" AND password = "" or "1"="1"”不同的结果。　　第二:删除用户输入内容中的所有连字符，防止攻击者构造出类如“SELECT * from Users WHERE login = "mas" -- AND password =""”之类的查询，因为这类查询的后半部分已经被注释掉，不再有效，攻击者只要知道一个合法的用户登录名称，根本不需要知道用户的密码就可以顺利获得访问权限。　　第三:对于用来执行查询的数据库帐户，限制其权限。用不同的用户帐户执行查询、插入、更新、删除操作。由于隔离了不同帐户可执行的操作，因而也就防止了原本用于执行SELECT命令的地方却被用于执行INSERT、UPDATE或DELETE命令。　　⑵ 用存储过程来执行所有的查询。SQL参数的传递方式将防止攻击者利用单引号和连字符实施攻击。此外，它还使得数据库权限可以限制到只允许特定的存储过程执行，所有的用户输入必须遵从被调用的存储过程的安全上下文，这样就很难再发生注入式攻击了。　　⑶ 限制表单或查询字符串输入的长度。如果用户的登录名字最多只有10个字符，那么不要认可表单中输入的10个以上的字符，这将大大增加攻击者在SQL命令中插入有害代码的难度。　　⑷ 检查用户输入的合法性，确信输入的内容只包含合法的数据。数据检查应当在客户端和服务器端都执行——之所以要执行服务器端验证，是为了弥补客户端验证机制脆弱的安全性。　　在客户端，攻击者完全有可能获得网页的源代码，修改验证合法性的脚本(或者直接删除脚本)，然后将非法内容通过修改后的表单提交给服务器。因此，要保证验证操作确实已经执行，唯一的办法就是在服务器端也执行验证。你可以使用许多内建的验证对象，例如RegularExpressionValidator，它们能够自动生成验证用的客户端脚本，当然你也可以插入服务器端的方法调用。如果找不到现成的验证对象，你可以通过CustomValidator自己创建一个。　　⑸ 将用户登录名称、密码等数据加密保存。加密用户输入的数据，然后再将它与数据库中保存的数据比较，这相当于对用户输入的数据进行了“消毒”处理，用户输入的数据不再对数据库有任何特殊的意义，从而也就防止了攻击者注入SQL命令。System.Web.Security.FormsAuthentication类有一个HashPasswordForStoringInConfigFile，非常适合于对输入数据进行消毒处理。　　⑹ 检查提取数据的查询所返回的记录数量。如果程序只要求返回一个记录，但实际返回的记录却超过一行，那就当作出错处理。

以 php 为例 引发 SQL 注入失败最主要的原因是什么主要就是 WAF 和手工保护代码，WAF 用于拦截恶意代码，但是 WAF 很好绕过，规则是死的，人是活的。WAF 部署在服务器端，根据预先定义的规则对 http 请求进行过滤，继而拦截一些通用的必然 xss 和 sql 攻击。 以 php 为例引发 SQL 注入失败最主要的原因是什么主要就是 WAF 和手工保护代码，WAF 用于拦截恶意代码，但是 WAF 很好绕过，规则是死的，人是活的。WAF 部署在服务器端，根据预先定义的规则对 http 请求进行过滤，继而拦截一些通用的必然 xss 和 sql 攻击。Order by 语句被拦截?这个情况很少发生，，但是有时候 WAF 由于某些原因会拦截，不过，我们可以绕过，方法很简单，用 Group by 就可以了。因为不再 WAF 的规则列表里比如下面这样提示 403 forbidden?id=1 order by 100--可以尝试一下 group by?id=1 group by 100-- 成功但是，有可能这个还会被拦截。所以我们使用一条流传不那么广泛的一个语句。那就是(主查询语句)=(select 1)?id=8 and (select * from admins)=(select 1)可能会返回一个错误，类似 Operand should contain 5 column(s).这样我们就知道有 5 列了。然后 union select 就懂了。?id=-8 union select 1,2,3,4,5--order by 10000 了仍然没有报错?这里讲一下有时候 order by 可以用，但是到 10000 了还是不报错，与上一节不同的是，上一节是请求被 WAF 拦截，这里呢，则是因为注入语句有点不同，当我第一次遇到的时候，我天真的以为数据库表里真的有 10000 列。答案很简单，order by 1000000 还是不报错，是因为我们的注入语句没有运行。?id=9 order by 10000000000-- 不报错我们稍微改变一下 url ，在 id 后面加一个单引号，并且在最后加一个加号。?id=9" order by 10000000--+ 报错然后开始使用 union 查询就行了，方法一样。?id=-9" union select 1,2,3,4,5,6,7,8--+从其他数据库里获取数据有时候我们注入成功了，但是读出来的表都是些新闻啊，相册啊，文章啊，之类的，我们要找的可是管理，登录表啊。这时候我们就需要看一下是不是还有其他的数据库。首先获取所有的数据库名：?id=9 union select 1,2,group_concat(schema_name),4 from information_schema.schemata然后获得指定数据库的表：?id=9 union select 1,2,group_concat(table_name),4 from information_schema.tables where table_schema= (这里填写数据库 hex 编码)然后获取所有列：?id=9 union select 1,2,group_concat(column_name),4 from information_schema.tableswhere table_schema=(这里填写数据库 hex 编码) and table_name=(这里填写表名的 hex 编码)通过 SQL 注入可以修改数据库里的信息吗?SQL 可以查询，，更新，插入信息，所以，查询信息只是其中的一个功能，有时候无法破解管理员帐号的 MD5 值。那么为什么不自己加一个呢..insert 插入语句就可以，如果找不到后台，邪恶一点，干脆直接 drop 掉整个表，这样，管理员也登陆不上了。网站也坏了。还可以通过 update 更新语句来修改管理员密码，?id=1假设这里存在注入。我们通过 union 获取了一些表名，比如有个 news，那么我们通过下面这个语句删除 news表。?id=1; DROP TABLE news然后网站所有的新闻内容就没了，如果要该更改管理员密码，那么这样：?id=1; UPDATE "admin_login" SET "password" = "你自己的 md5" WHERE login_name="admin"--

参数化sql语句

SQL注入是一种代码注入技术，用于攻击数据驱动的应用，恶意的SQL语句被插入到执行的实体字段中（例如，为了转储数据库内容给攻击者）。[摘自] SQL injection - WikipediaSQL注入，大家都不陌生，是一种常见的攻击方式。攻击者在界面的表单信息或URL上输入一些奇怪的SQL片段（例如“or ‘1"="1"”这样的语句），有可能入侵参数检验不足的应用程序。所以，在我们的应用中需要做一些工作，来防备这样的攻击方式。在一些安全性要求很高的应用中（比如银行软件），经常使用将SQL语句全部替换为存储过程这样的方式，来防止SQL注入。这当然是一种很安全的方式，但我们平时开发中，可能不需要这种死板的方式。MyBatis框架作为一款半自动化的持久层框架，其SQL语句都要我们自己手动编写，这个时候当然需要防止SQL注入。其实，MyBatis的SQL是一个具有“输入+输出”的功能，类似于函数的结构，如下：<select id="getBlogById" resultType="Blog" parameterType=”int”>SELECT id,title,author,contentFROM blogWHERE id=#{id}</select>这里，parameterType表示了输入的参数类型，resultType表示了输出的参数类型。回应上文，如果我们想防止SQL注入，理所当然地要在输入参数上下功夫。上面代码中黄色高亮即输入参数在SQL中拼接的部分，传入参数后，打印出执行的SQL语句，会看到SQL是这样的：SELECT id,title,author,content FROM blog WHERE id = ?不管输入什么参数，打印出的SQL都是这样的。这是因为MyBatis启用了预编译功能，在SQL执行前，会先将上面的SQL发送给数据库进行编译；执行时，直接使用编译好的SQL，替换占位符“?”就可以了。因为SQL注入只能对编译过程起作用，所以这样的方式就很好地避免了SQL注入的问题。【底层实现原理】MyBatis是如何做到SQL预编译的呢？其实在框架底层，是JDBC中的PreparedStatement类在起作用，PreparedStatement是我们很熟悉的Statement的子类，它的对象包含了编译好的SQL语句。这种“准备好”的方式不仅能提高安全性，而且在多次执行同一个SQL时，能够提高效率。原因是SQL已编译好，再次执行时无需再编译。话说回来，是否我们使用MyBatis就一定可以防止SQL注入呢？当然不是，请看下面的代码：<select id="getBlogById" resultType="Blog" parameterType=”int”>SELECT id,title,author,contentFROM blogWHERE id=${id}</select>仔细观察，内联参数的格式由“#{xxx}”变为了“${xxx}”。如果我们给参数“id”赋值为“3”，将SQL打印出来是这样的：SELECT id,title,author,content FROM blog WHERE id = 3（上面的对比示例是我自己添加的，为了与前面的示例形成鲜明的对比。）<select id="orderBlog" resultType="Blog" parameterType=”map”>SELECT id,title,author,contentFROM blogORDER BY ${orderParam}</select>仔细观察，内联参数的格式由“#{xxx}”变为了“${xxx}”。如果我们给参数“orderParam”赋值为“id”，将SQL打印出来是这样的：SELECT id,title,author,content FROM blog ORDER BY id显然，这样是无法阻止SQL注入的。在MyBatis中，“${xxx}”这样格式的参数会直接参与SQL编译，从而不能避免注入攻击。但涉及到动态表名和列名时，只能使用“${xxx}”这样的参数格式。所以，这样的参数需要我们在代码中手工进行处理来防止注入。【结论】在编写MyBatis的映射语句时，尽量采用“#{xxx}”这样的格式。若不得不使用“${xxx}”这样的参数，要手工地做好过滤工作，来防止SQL注入攻击。#{}：相当于JDBC中的PreparedStatement${}：是输出变量的值简单说，#{}是经过预编译的，是安全的；${}是未经过预编译的，仅仅是取变量的值，是非安全的，存在SQL注入。如果我们order by语句后用了${}，那么不做任何处理的时候是存在SQL注入危险的。你说怎么防止，那我只能悲惨的告诉你，你得手动处理过滤一下输入的内容。如判断一下输入的参数的长度是否正常（注入语句一般很长），更精确的过滤则可以查询一下输入的参数是否在预期的参数集合中。Face your past without regret. Handle your present with confidence.Prepare for future without fear. keep the faith and drop the fear. 面对过去无怨无悔，把握现在充满信心，备战未来无所畏惧。保持信念，克服恐惧！一点一滴的积累，一点一滴的沉淀，学技术需要不断的积淀！

你可以学习一下如何防止MYSQL被注入。一、SQL注入简介 SQL注入是比较常见的网络攻击方式之一，它不是利用操作系统的BUG来实现攻击，而是针对程序员编程时的疏忽，通过SQL语句，实现无帐号登录，甚至篡改数据库。二、SQL注入攻击的总体思路1.寻找到SQL注入的位置2.判断服务器类型和后台数据库类型3.针对不通的服务器和数据库特点进行SQL注入攻击三、SQL注入攻击实例比如在一个登录界面，要求输入用户名和密码：可以这样输入实现免帐号登录：用户名： ‘or 1 = 1 –密 码：点登陆,如若没有做特殊处理,那么这个非法用户就很得意的登陆进去了.(当然现在的有些语言的数据库API已经处理了这些问题)这是为什么呢? 下面我们分析一下：从理论上说，后台认证程序中会有如下的SQL语句：String sql = "select * from user_table where username=" "+userName+" " and password=" "+password+" "";当输入了上面的用户名和密码，上面的SQL语句变成：SELECT * FROM user_table WHERE username=""or 1 = 1 -- and password=""分析SQL语句：条件后面username=”or 1=1 用户名等于 ” 或1=1 那么这个条件一定会成功；然后后面加两个-，这意味着注释，它将后面的语句注释，让他们不起作用，这样语句永远都能正确执行，用户轻易骗过系统，获取合法身份。这还是比较温柔的，如果是执行SELECT * FROM user_table WHEREusername="" ;DROP DATABASE (DB Name) --" and password=""….其后果可想而知…四、应对方法下面我针对JSP，说一下应对方法：1.（简单又有效的方法）PreparedStatement采用预编译语句集，它内置了处理SQL注入的能力，只要使用它的setXXX方法传值即可。使用好处：(1).代码的可读性和可维护性.(2).PreparedStatement尽最大可能提高性能.(3).最重要的一点是极大地提高了安全性.原理：sql注入只对sql语句的准备(编译)过程有破坏作用而PreparedStatement已经准备好了,执行阶段只是把输入串作为数据处理,而不再对sql语句进行解析,准备,因此也就避免了sql注入问题.2.使用正则表达式过滤传入的参数要引入的包：import java.util.regex.*;正则表达式：private String CHECKSQL = “^(.+)\sand\s(.+)|(.+)\sor(.+)\s$”;判断是否匹配：Pattern.matches(CHECKSQL,targerStr);下面是具体的正则表达式：检测SQL meta-characters的正则表达式 ：/(\%27)|(")|(--)|(\%23)|(#)/ix修正检测SQL meta-characters的正则表达式 ：/((\%3D)|(=))[^ ]*((\%27)|(")|(--)|(\%3B)|(:))/i典型的SQL 注入攻击的正则表达式 ：/w*((\%27)|("))((\%6F)|o|(\%4F))((\%72)|r|(\%52))/ix检测SQL注入，UNION查询关键字的正则表达式 ：/((\%27)|("))union/ix(\%27)|(")检测MS SQL Server SQL注入攻击的正则表达式：/exec(s|+)+(s|x)pw+/ix等等…..3.字符串过滤比较通用的一个方法：（||之间的参数可以根据自己程序的需要添加）public static boolean sql_inj(String str){String inj_str = ""|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+|,";String inj_stra[] = split(inj_str,"|");for (int i=0 ; i < inj_stra.length ; i++ ){if (str.indexOf(inj_stra[i])>=0){return true;}}return false;}4.jsp中调用该函数检查是否包函非法字符防止SQL从URL注入：sql_inj.java代码：package sql_inj;import java.net.*;import java.io.*;import java.sql.*;import java.text.*;import java.lang.String;public class sql_inj{public static boolean sql_inj(String str){String inj_str = ""|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+|,";//这里的东西还可以自己添加String[] inj_stra=inj_str.split("\|");for (int i=0 ; i < inj_stra.length ; i++ ){if (str.indexOf(inj_stra[i])>=0){return true;}}return false;}}5.JSP页面判断代码：使用javascript在客户端进行不安全字符屏蔽功能介绍：检查是否含有”‘”,”\”,”/”参数说明：要检查的字符串返回值：0：是1：不是函数名是function check(a){return 1;fibdn = new Array (”‘” ,”\”,”/”);i=fibdn.length;j=a.length;for (ii=0; ii＜i; ii++){ for (jj=0; jj＜j; jj++){ temp1=a.charAt(jj);temp2=fibdn[ii];if (tem"; p1==temp2){ return 0; }}}return 1;}===================================总的说来，防范一般的SQL注入只要在代码规范上下点功夫就可以了。凡涉及到执行的SQL中有变量时，用JDBC（或者其他数据持久层）提供的如：PreparedStatement就可以 ，切记不要用拼接字符串的方法就可以了。

1、用PreparedStatement进行sql拼装2、用正则对参数进行过滤

你要黑别人的网站？小心点儿 弄不好自己一身黑

SQL注入是一种代码注入技术，用于攻击数据驱动的应用，恶意的SQL语句被插入到执行的实体字段中（例如，为了转储数据库内容给攻击者）。[摘自] SQL injection - WikipediaSQL注入，大家都不陌生，是一种常见的攻击方式。攻击者在界面的表单信息或URL上输入一些奇怪的SQL片段（例如“or ‘1"="1"”这样的语句），有可能入侵参数检验不足的应用程序。所以，在我们的应用中需要做一些工作，来防备这样的攻击方式。在一些安全性要求很高的应用中（比如银行软件），经常使用将SQL语句全部替换为存储过程这样的方式，来防止SQL注入。这当然是一种很安全的方式，但我们平时开发中，可能不需要这种死板的方式。MyBatis框架作为一款半自动化的持久层框架，其SQL语句都要我们自己手动编写，这个时候当然需要防止SQL注入。其实，MyBatis的SQL是一个具有“输入+输出”的功能，类似于函数的结构，如下：<select id="getBlogById" resultType="Blog" parameterType=”int”> SELECT id,title,author,content FROM blogWHERE id=#{id}</select>这里，parameterType表示了输入的参数类型，resultType表示了输出的参数类型。回应上文，如果我们想防止SQL注入，理所当然地要在输入参数上下功夫。上面代码中黄色高亮即输入参数在SQL中拼接的部分，传入参数后，打印出执行的SQL语句，会看到SQL是这样的：SELECT id,title,author,content FROM blog WHERE id = ?不管输入什么参数，打印出的SQL都是这样的。这是因为MyBatis启用了预编译功能，在SQL执行前，会先将上面的SQL发送给数据库进行编译；执行时，直接使用编译好的SQL，替换占位符“?”就可以了。因为SQL注入只能对编译过程起作用，所以这样的方式就很好地避免了SQL注入的问题。【底层实现原理】MyBatis是如何做到SQL预编译的呢？其实在框架底层，是JDBC中的PreparedStatement类在起作用，PreparedStatement是我们很熟悉的Statement的子类，它的对象包含了编译好的SQL语句。这种“准备好”的方式不仅能提高安全性，而且在多次执行同一个SQL时，能够提高效率。原因是SQL已编译好，再次执行时无需再编译。话说回来，是否我们使用MyBatis就一定可以防止SQL注入呢？当然不是，请看下面的代码：<select id="getBlogById" resultType="Blog" parameterType=”int”> SELECT id,title,author,content FROM blogWHERE id=${id}</select>仔细观察，内联参数的格式由“#{xxx}”变为了“${xxx}”。如果我们给参数“id”赋值为“3”，将SQL打印出来是这样的：SELECT id,title,author,content FROM blog WHERE id = 3（上面的对比示例是我自己添加的，为了与前面的示例形成鲜明的对比。）<select id="orderBlog" resultType="Blog" parameterType=”map”> SELECT id,title,author,content FROM blogORDER BY ${orderParam}</select>仔细观察，内联参数的格式由“#{xxx}”变为了“${xxx}”。如果我们给参数“orderParam”赋值为“id”，将SQL打印出来是这样的：SELECT id,title,author,content FROM blog ORDER BY id显然，这样是无法阻止SQL注入的。在MyBatis中，“${xxx}”这样格式的参数会直接参与SQL编译，从而不能避免注入攻击。但涉及到动态表名和列名时，只能使用“${xxx}”这样的参数格式。所以，这样的参数需要我们在代码中手工进行处理来防止注入。【结论】在编写MyBatis的映射语句时，尽量采用“#{xxx}”这样的格式。若不得不使用“${xxx}”这样的参数，要手工地做好过滤工作，来防止SQL注入攻击。[摘自] mybatis的#{}和${}的区别以及order by注入问题#{}：相当于JDBC中的PreparedStatement${}：是输出变量的值简单说，#{}是经过预编译的，是安全的；${}是未经过预编译的，仅仅是取变量的值，是非安全的，存在SQL注入。如果我们order by语句后用了${}，那么不做任何处理的时候是存在SQL注入危险的。你说怎么防止，那我只能悲惨的告诉你，你得手动处理过滤一下输入的内容。如判断一下输入的参数的长度是否正常（注入语句一般很长），更精确的过滤则可以查询一下输入的参数是否在预期的参数集合中。

百度百科：SQL注入攻击是你需要担心的事情，不管你用什么web编程技术，再说所有的web框架都需要担心这个的。你需要遵循几条非常基本的规则：1）在构造动态SQL语句时，一定要使用类安全（type-safe）的参数加码机制。大多数的数据API，包括ADO和ADO. NET，有这样的支持，允许你指定所提供的参数的确切类型（譬如，字符串，整数，日期等），可以保证这些参数被恰当地escaped/encoded了，来避免黑客利用它们。一定要从始到终地使用这些特性。例如，在ADO. NET里对动态SQL，你可以象下面这样重写上述的语句，使之安全：Dim SSN as String = Request.QueryString("SSN")Dim cmd As new SqlCommand("SELECT au_lname,au_fname FROM authors WHERE au_id = @au_id")Dim param = new SqlParameter("au_id",SqlDbType.VarChar)param.Value = SSNcmd.Parameters.Add(param)这将防止有人试图偷偷注入另外的SQL表达式（因为ADO. NET知道对au_id的字符串值进行加码），以及避免其他数据问题（譬如不正确地转换数值类型等）。注意，VS 2005内置的TableAdapter/DataSet设计器自动使用这个机制，ASP. NET 2.0数据源控件也是如此。一个常见的错误知觉（misperception）是，假如你使用了存储过程或ORM，你就完全不受SQL注入攻击之害了。这是不正确的，你还是需要确定在给存储过程传递数据时你很谨慎，或在用ORM来定制一个查询时，你的做法是安全的。2） 在部署你的应用前，始终要做安全审评（security review）。建立一个正式的安全过程（formal security process），在每次你做更新时，对所有的编码做审评。后面一点特别重要。很多次我听说开发队伍在正式上线（going live）前会做很详细的安全审评，然后在几周或几个月之后他们做一些很小的更新时，他们会跳过安全审评这关，推说，“就是一个小小的更新，我们以后再做编码审评好了”。请始终坚持做安全审评。3） 千万别把敏感性数据在数据库里以明文存放。我个人的意见是，密码应该总是在单向（one-way)hashed过后再存放，我甚至不喜欢将它们在加密后存放。在默认设置下，ASP. NET 2.0 Membership API 自动为你这么做，还同时实现了安全的SALT 随机化行为（SALT randomization behavior）。如果你决定建立自己的成员数据库，我建议你查看一下我们在这里发表的我们自己的Membership provider的源码。同时也确定对你的数据库里的信用卡和其他的私有数据进行了加密。这样即使你的数据库被人入侵（compromised）了的话，起码你的客户的私有数据不会被人利用。4）确认你编写了自动化的单元测试，来特别校验你的数据访问层和应用程序不受SQL注入攻击。这么做是非常重要的，有助于捕捉住（catch）“就是一个小小的更新，所有不会有安全问题”的情形带来的疏忽，来提供额外的安全层以避免偶然地引进坏的安全缺陷到你的应用里去。5）锁定你的数据库的安全，只给访问数据库的web应用功能所需的最低的权限。如果web应用不需要访问某些表，那么确认它没有访问这些表的权限。如果web应用只需要只读的权限从你的account payables表来生成报表，那么确认你禁止它对此表的 insert/update/delete 的权限。6）很多新手从网上SQL通用防注入系统的程序，在需要防范注入的页面头部用 来防止别人进行手动注入测试（。可是如果通过SQL注入分析器就可轻松跳过防注入系统并自动分析其注入点。然后只需要几分钟，你的管理员及密码就会被分析出来。7）对于注入分析器的防范，笔者通过实验，发现了一种简单有效的防范方法。首先我们要知道SQL注入分析器是如何工作的。在操作过程中，发现并不是冲着“admin”管理员去的，而是冲着权限（如flag=1）去的。这样一来，无论你的管理员怎么变都无法逃过检测。第三步：既然无法逃过检测，那我们就做两个，一个是普通的管理员，一个是防止注入的，为什么这么说呢？笔者想，如果找一个权限最大的制造假象，吸引的检测，而这个里的内容是大于千字以上的中文字符，就会迫使对这个进行分析的时候进入全负荷状态甚至资源耗尽而死机。下面我们就来修改数据库吧。⒈对表结构进行修改。将管理员的字段的数据类型进行修改，文本型改成最大字段255（其实也够了，如果还想做得再大点，可以选择备注型），密码的字段也进行相同设置。⒉对表进行修改。设置管理员权限的放在ID1，并输入大量中文字符（最好大于100个字）。⒊把真正的管理员密码放在ID2后的任何一个位置（如放在ID549上）。由于SQL注入攻击针对的是应用开发过程中的编程不严密，因而对于绝大多数防火墙来说，这种攻击是“合法”的。问题的解决只有依赖于完善编程。专门针对SQL注入攻击的工具较少，Wpoison对于用asp，php进行的开发有一定帮助。

可以去打开腾讯智慧安全的页面然后在里面找到御点终端全系统申请是用然后使用病毒查杀或者修复漏洞去杀毒和修复漏洞就行

$uid = addslashes(uid);$sql = "SELECT uid,username FROM user WHERE uid=‘{$uid}‘";以及$uid = isset($_GET[‘uid‘]) ? $_GET[‘uid‘] : 0;$uid = addslashes(uid);$sql = "SELECT uid,username FROM user WHERE uid={$uid}";上面两个查询语句都经过了php的addslashes函数过滤转义，但在安全性上却大不相同，在MySQL中，对于int类型字段的条件查询，上面个语句的查询效果完全一样，由于第一句SQL的变量被单引号包含起来，SQL注入的时候，黑客面临的首要问题是必须要先闭合前面的单引号，这样才能使后面的语句作为SQL执行，并且还要注释掉原SQL语句中的后面的单引号，这样才可以成功注入，由于代码里使用了addslashes函数，黑客的攻击会无从下手，但第二句没有用引号包含变量，那黑客也不用考虑去闭合、注释，所以即便同样采用addslashes转义，也还是存在SQL攻击漏洞。对于PHP程序+MySQL构架的程序，在动态的SQL语句中，使用单引号把变量包含起来配合addslashes函数是应对SQL注入攻击的有效手段，但这做的还不够，像上面的2条SQL语句，根据「检查数据类型」的原则，uid都应该经过intval函数格式为int型，这样不仅能有效避免第二条语句的SQL注入漏洞，还能使得程序看起来更自然，尤其是在NoSQL(如MongoDB)中，变量类型一定要与字段类型相匹配才可以。从上面可以看出，第二个SQL语句是有漏洞的，不过由于使用了addslashes函数，你会发现黑客的攻击语句也存在不能使用特殊符号的条件限制，类似where username=‘plhwin‘这样的攻击语句是没法执行的，但是黑客可以将字符串转为16进制编码数据或使用char函数进行转化，同样能达到相同的目的。而且由于SQL保留关键字，如「HAVING」、「ORDER BY」的存在，即使是基于黑白名单的过滤方法仍然会有或多或少问题，那么是否还有其他方法来防御SQL注入呢？3、绑定变量，使用预编译语句MySQL的mysqli驱动提供了预编译语句的支持，不同的程序语言，都分别有使用预编译语句的方法，我们这里仍然以PHP为例，编写userinfo2.php代码：<?phpheader(‘Content-type:text/html; charset=UTF-8‘);$username = isset($_GET[‘username‘]) ? $_GET[‘username‘] : ‘‘;$userinfo = array();if($username){ //使用mysqli驱动连接demo数据库 $mysqli = new mysqli("localhost", "root", "root", ‘demo‘); //使用问号替代变量位置 $sql = "SELECT uid,username FROM user WHERE username=?"; $stmt = $mysqli->prepare($sql); //绑定变量 $stmt->bind_param("s", $username); $stmt->execute(); $stmt->bind_result($uid, $username); while ($stmt->fetch()) { $row = array(); $row[‘uid‘] = $uid; $row[‘username‘] = $username; $userinfo[] = $row; }}echo ‘<pre>‘,print_r($userinfo, 1),‘</pre>‘;从上面的代码可以看到，我们程序里并没有使用addslashes函数，但是浏览器里运行 http://localhost/test/userinfo2.php?username=plhwin‘ AND 1=1-- hack 里得不到任何结果，说明SQL漏洞在这个程序里并不存在。实际上，绑定变量使用预编译语句是预防SQL注入的最佳方式，使用预编译的SQL语句语义不会发生改变，在SQL语句中，变量用问号?表示，黑客即使本事再大，也无法改变SQL语句的结构，像上面例子中，username变量传递的plhwin‘ AND 1=1-- hack参数，也只会当作username字符串来解释查询，从根本上杜绝了SQL注入攻击的发生。数据库信息加密安全相信大家都还对2011年爆出的CSDN拖库事件记忆犹新，这件事情导致CSDN处在风口浪尖被大家痛骂的原因就在于他们竟然明文存储用户的密码，这引发了科技界对用户信息安全尤其是密码安全的强烈关注，我们在防范SQL注入的发生的同时，也应该未雨绸缪，说不定下一个被拖库的就是你，谁知道呢。在Web开发中，传统的加解密大致可以分为三种:1、对称加密：即加密方和解密方都使用相同的加密算法和密钥，这种方案的密钥的保存非常关键，因为算法是公开的，而密钥是保密的，一旦密匙泄露，黑客仍然可以轻易解密。常见的对称加密算法有：AES、DES等。2、非对称加密：即使用不同的密钥来进行加解密，密钥被分为公钥和私钥，用私钥加密的数据必须使用公钥来解密，同样用公钥加密的数据必须用对应的私钥来解密，常见的非对称加密算法有：RSA等。3、不可逆加密：利用哈希算法使数据加密之后无法解密回原数据，这样的哈希算法常用的有：md5、SHA-1等。在我们上面登录系统的示例代码中，$md5password = md5($password); 从这句代码可以看到采用了md5的不可逆加密算法来存储密码，这也是多年来业界常用的密码加密算法，但是这仍然不安全。为什么呢？这是因为md5加密有一个特点：同样的字符串经过md5哈希计算之后生成的加密字符串也是相同的，由于业界采用这种加密的方式由来已久，黑客们也准备了自己强大的md5彩虹表来逆向匹配加密前的字符串，这种用于逆向反推MD5加密的彩虹表在互联网上随处可见，在Google里使用md5 解密作为关键词搜索，一下就能找到md5在线破解网站，把我们插入用户数据时候的MD5加密字符串e10adc3949ba59abbe56e057f20f883e填入进去，瞬间就能得到加密前的密码：123456。当然也并不是每一个都能成功，但可以肯定的是，这个彩虹表会越来越完善。所以，我们有迫切的需求采用更好的方法对密码数据进行不可逆加密，通常的做法是为每个用户确定不同的密码加盐（salt）后，再混合用户的真实密码进行md5加密，如以下代码：<?php//用户注册时候设置的password$password = $_POST[‘password‘];//md5加密，传统做法直接将加密后的字符串存入数据库，但这不够，我们继续改良$passwordmd5 = md5($password);//为用户生成不同的密码盐，算法可以根据自己业务的需要而不同$salt = substr(uniqid(rand()), -6);//新的加密字符串包含了密码盐$passwordmd5 = md5($passwordmd5.$salt);小结1、不要随意开启生产环境中Webserver的错误显示。2、永远不要信任来自用户端的变量输入，有固定格式的变量一定要严格检查对应的格式，没有固定格式的变量需要对引号等特殊字符进行必要的过滤转义。3、使用预编译绑定变量的SQL语句。4、做好数据库帐号权限管理。5、严格加密处理用户的机密信息。如何防御SQL注入标签：

SQL注入是一种代码注入技术，用于攻击数据驱动的应用，恶意的SQL语句被插入到执行的实体字段中（例如，为了转储数据库内容给攻击者）。[摘自]SQL injection - WikipediaSQL注入，大家都不陌生，是一种常见的攻击方式。攻击者在界面的表单信息或URL上输入一些奇怪的SQL片段（例如“or u20181u2019=u20191u2019”这样的语句），有可能入侵参数检验不足的应用程序。所以，在我们的应用中需要做一些工作，来防备这样的攻击方式。在一些安全性要求很高的应用中（比如银行软件），经常使用将SQL语句全部替换为存储过程这样的方式，来防止SQL注入。这当然是一种很安全的方式，但我们平时开发中，可能不需要这种死板的方式。MyBatis框架作为一款半自动化的持久层框架，其SQL语句都要我们自己手动编写，这个时候当然需要防止SQL注入。其实，MyBatis的SQL是一个具有“输入+输出”的功能，类似于函数的结构，如下：<selectid="getBlogById"resultType="Blog"parameterType=”int”>SELECT id,title,author,contentFROM blogWHERE id=#{id}</select>这里，parameterType表示了输入的参数类型，resultType表示了输出的参数类型。回应上文，如果我们想防止SQL注入，理所当然地要在输入参数上下功夫。上面代码中黄色高亮即输入参数在SQL中拼接的部分，传入参数后，打印出执行的SQL语句，会看到SQL是这样的：SELECT id,title,author,content FROM blog WHERE id =?不管输入什么参数，打印出的SQL都是这样的。这是因为MyBatis启用了预编译功能，在SQL执行前，会先将上面的SQL发送给数据库进行编译；执行时，直接使用编译好的SQL，替换占位符“?”就可以了。因为SQL注入只能对编译过程起作用，所以这样的方式就很好地避免了SQL注入的问题。【底层实现原理】MyBatis是如何做到SQL预编译的呢？其实在框架底层，是JDBC中的PreparedStatement类在起作用，PreparedStatement是我们很熟悉的Statement的子类，它的对象包含了编译好的SQL语句。这种“准备好”的方式不仅能提高安全性，而且在多次执行同一个SQL时，能够提高效率。原因是SQL已编译好，再次执行时无需再编译。话说回来，是否我们使用MyBatis就一定可以防止SQL注入呢？当然不是，请看下面的代码：<selectid="getBlogById"resultType="Blog"parameterType=”int”>SELECT id,title,author,contentFROM blogWHERE id=${id}</select>仔细观察，内联参数的格式由“#{xxx}”变为了“${xxx}”。如果我们给参数“id”赋值为“3”，将SQL打印出来是这样的：SELECT id,title,author,content FROM blog WHERE id =3（上面的对比示例是我自己添加的，为了与前面的示例形成鲜明的对比。）<selectid="orderBlog"resultType="Blog"parameterType=”map”>SELECT id,title,author,contentFROM blogORDER BY${orderParam}</select>仔细观察，内联参数的格式由“#{xxx}”变为了“${xxx}”。如果我们给参数“orderParam”赋值为“id”，将SQL打印出来是这样的：SELECT id,title,author,content FROM blog ORDER BYid显然，这样是无法阻止SQL注入的。在MyBatis中，“${xxx}”这样格式的参数会直接参与SQL编译，从而不能避免注入攻击。但涉及到动态表名和列名时，只能使用“${xxx}”这样的参数格式。所以，这样的参数需要我们在代码中手工进行处理来防止注入。【结论】在编写MyBatis的映射语句时，尽量采用“#{xxx}”这样的格式。若不得不使用“${xxx}”这样的参数，要手工地做好过滤工作，来防止SQL注入攻击。#{}：相当于JDBC中的PreparedStatement${}：是输出变量的值简单说，#{}是经过预编译的，是安全的；${}是未经过预编译的，仅仅是取变量的值，是非安全的，存在SQL注入。如果我们order by语句后用了${}，那么不做任何处理的时候是存在SQL注入危险的。你说怎么防止，那我只能悲惨的告诉你，你得手动处理过滤一下输入的内容。如判断一下输入的参数的长度是否正常（注入语句一般很长），更精确的过滤则可以查询一下输入的参数是否在预期的参数集合中。mybatis以及预编译如何防止SQL注入标签：观察内容启用应用程序order程序作用长度转储

</select>这里，parameterType表示了输入的参数类型，resultType表示了输出的参数类型。回应上文，如果我们想防止SQL注入，理所当然地要在输入参数上下功夫。上面代码中黄色高亮即输入参数在SQL中拼接的部分，传入参数后，打印出执行的SQL语句，会看到SQL是这样的：SELECT id,title,author,content FROM blog WHERE id = ?不管输入什么参数，打印出的SQL都是这样的。这是因为MyBatis启用了预编译功能，在SQL执行前，会先将上面的SQL发送给数据库进行编译；执行时，直接使用编译好的SQL，替换占位符“?”就可以了。因为SQL注入只能对编译过程起作用，所以这样的方式就很好地避免了SQL注入的问题。【底层实现原理】MyBatis是如何做到SQL预编译的呢？其实在框架底层，是JDBC中的PreparedStatement类在起作用，PreparedStatement是我们很熟悉的Statement的子类，它的对象包含了编译好的SQL语句。这种“准备好”的方式不仅能提高安全性，而且在多次执行同一个SQL时，能够提高效率。原因是SQL已编译好，再次执行时无需再编译。话说回来，是否我们使用MyBatis就一定可以防止SQL注入呢？当然不是，请看下面的代码：<select id="getBlogById" resultType="Blog" parameterType=”int”> SELECT id,title,author,content FROM blogWHERE id=${id}</select>仔细观察，内联参数的格式由“#{xxx}”变为了“${xxx}”。如果我们给参数“id”赋值为“3”，将SQL打印出来是这样的：SELECT id,title,author,content FROM blog WHERE id = 3（上面的对比示例是我自己添加的，为了与前面的示例形成鲜明的对比。）<select id="orderBlog" resultType="Blog" parameterType=”map”> SELECT id,title,author,content FROM blogORDER BY ${orderParam}</select>仔细观察，内联参数的格式由“#{xxx}”变为了“${xxx}”。如果我们给参数“orderParam”赋值为“id”，将SQL打印出来是这样的：SELECT id,title,author,content FROM blog ORDER BY id显然，这样是无法阻止SQL注入的。在MyBatis中，“${xxx}”这样格式的参数会直接参与SQL编译，从而不能避免注入攻击。但涉及到动态表名和列名时，只能使用“${xxx}”这样的参数格式。所以，这样的参数需要我们在代码中手工进行处理来防止注入。【结论】在编写MyBatis的映射语句时，尽量采用“#{xxx}”这样的格式。若不得不使用“${xxx}”这样的参数，要手工地做好过滤工作，来防止SQL注入攻击。[摘自] mybatis的#{}和${}的区别以及order by注入问题#{}：相当于JDBC中的PreparedStatement${}：是输出变量的值简单说，#{}是经过预编译的，是安全的；${}是未经过预编译的，仅仅是取变量的值，是非安全的，存在SQL注入。如果我们order by语句后用了${}，那么不做任何处理的时候是存在SQL注入危险的。你说怎么防止，那我只能悲惨的告诉你，你得手动处理过滤一下输入的内容。如判断一下输入的参数的长度是否正常（注入语句一般很长），更精确的过滤则可以查询一下输入的参数是否在预期的参数集合中。MyBatis如何防止SQL注入标签：转储如何bsp表单攻击cep添加typeback

SQL注入：利用现有应用程序，将(恶意)的SQL命令注入到后台数据库引擎执行的能力，这是SQL注入的标准释义。随着B/S模式被广泛的应用，用这种模式编写应用程序的程序员也越来越多，但由于开发人员的水平和经验参差不齐，相当一部分的开发人员在编写代码的时候，没有对用户的输入数据或者是页面中所携带的信息（如Cookie）进行必要的合法性判断，导致了攻击者可以提交一段数据库查询代码，根据程序返回的结果，获得一些他想得到的数据。SQL注入利用的是正常的HTTP服务端口，表面上看来和正常的web访问没有区别，隐蔽性极强，不易被发现。SQL注入攻击过程分为五个步骤：第一步：判断Web环境是否可以SQL注入。如果URL仅是对网页的访问，不存在SQL注入问题，如：http://www.../162414739931.shtml就是普通的网页访问。只有对数据库进行动态查询的业务才可能存在SQL注入，如：http://www...../webhp?id＝39，其中?id＝39表示数据库查询变量，这种语句会在数据库中执行，因此可能会给数据库带来威胁。第二步：寻找SQL注入点。完成上一步的片断后，就要寻找可利用的注入漏洞，通过输入一些特殊语句，可以根据浏览器返回信息，判断数据库类型，从而构建数据库查询语句找到注入点。第三步：猜解用户名和密码。数据库中存放的表名、字段名都是有规律可言的。通过构建特殊数据库语句在数据库中依次查找表名、字段名、用户名和密码的长度，以及内容。这个猜测过程可以通过网上大量注入工具快速实现，并借助破解网站轻易破译用户密码。第四步：寻找WEB管理后台入口。通常WEB后台管理的界面不面向普通用户开放，要寻找到后台的登陆路径，可以利用扫描工具快速搜索到可能的登陆地址，依次进行尝试，就可以试出管理台的入口地址。第五步：入侵和破坏。成功登陆后台管理后，接下来就可以任意进行破坏行为，如篡改网页、上传木马、修改、泄漏用户信息等，并进一步入侵数据库服务器。SQL注入攻击的特点:变种极多，有经验的攻击者会手动调整攻击参数，致使攻击数据的变种是不可枚举的，这导致传统的特征匹配检测方法仅能识别相当少的攻击，难以防范。攻击过程简单，目前互联网上流行众多的SQL注入攻击工具，攻击者借助这些工具可很快对目标WEB系统实施攻击和破坏。危害大，由于WEB编程语言自身的缺陷以及具有安全编程能力的开发人员少之又少，大多数WEB业务系统均具有被SQL注入攻击的可能。而攻击者一旦攻击成功，可以对控制整个WEB业务系统，对数据做任意的修改，破坏力达到及至。SQL注入的危害和现状SQL注入的主要危害包括：未经授权状况下操作数据库中的数据恶意篡改网页内容私自添加系统帐号或者是数据库使用者帐号网页挂木马如何防止SQL参数：1，检查上传的数据，并过滤2. 禁止拼接SQL字符串3.使用SQL参数化处理4．加载防入侵等硬件设施

用hibernate技术 就解决了

打开腾讯智慧安全页面然后在里面找到御点终端安全系统接着选择上方产品选项，在里面选择腾讯御点，修复漏洞

最好是在前台用户输入的时候就用正则或者php方法将注入的信息过滤掉或替换掉

转载：http://www.iteye.com/topic/617072SQL注入攻击的总体思路：发现SQL注入位置；判断服务器类型和后台数据库类型；确定可执行情况对于有些攻击者而言，一般会采取sql注入法。下面我也谈一下自己关于sql注入法的感悟。注入法：从理论上说，认证网页中会有型如：select * from admin where username=‘XXX‘ and password=‘YYY‘ 的语句，若在正式运行此句之前，如果没有进行必要的字符过滤，则很容易实施SQL注入。如在用户名文本框内输入：abcu2019 or 1=1-- 在密码框内输入：123 则SQL语句变成：select * from admin where username=‘abcu2019 or 1=1 and password=‘123u2019 不管用户输入任何用户名与密码，此语句永远都能正确执行，用户轻易骗过系统，获取合法身份。猜解法：基本思路是：猜解所有数据库名称，猜出库中的每张表名，分析可能是存放用户名与密码的表名，猜出表中的每个字段名，猜出表中的每条记录内容。还有一种方式可以获得你的数据库名和每张表的名。就是通过在形如：http://www. .cn/news?id=10‘的方式来通过报错获得你的数据库名和表名！对于jsp而言我们一般采取一下策略来应对：1、PreparedStatement如果你已经是稍有水平开发者,你就应该始终以PreparedStatement代替Statement.以下是几点原因 1)、代码的可读性和可维护性. 2)、PreparedStatement尽最大可能提高性能. 3)、最重要的一点是极大地提高了安全性.到目前为止，有一些人（包括本人）连基本的恶义SQL语法都不知道.String sql = "select * from tb_name where name= ‘"+varname+"‘ and passwd=‘"+varpasswd+"‘";如果我们把[‘ or ‘1‘ = ‘1]作为name传入进来.密码随意,看看会成为什么?select * from tb_name = ‘or ‘1‘ = ‘1‘ and passwd = ‘随意‘ ;因为‘1‘=‘1‘肯定成立,所以可以任何通过验证.更有甚者:把[‘; drop table tb_name; ]作为varpasswd传入进来,则:select * from tb_name = ‘随意‘ and passwd = ‘‘; drop table tb_name; 有些数据库是不会让你成功的,但也有很多数据库就可以使这些语句得到执行.而如果你使用预编译语句.你传入的任何内容就不会和原来的语句发生任何匹配的关系.(前提是数据库本身支持预编译,但上前可能没有什么服务端数据库不支持编译了,只有少数的桌面数据库,就是直接文件访问的那些只要全使用预编译语句,你就用不着对传入的数据做任何过虑.而如果使用普通的 statement,有可能要对drop,; 等做费尽心机的判断和过虑.2、正则表达式 2.1、检测SQL meta-characters的正则表达式 /(\%27)|(‘)|(--)|(\%23)|(#)/ix 2.2、修正检测SQL meta-characters的正则表达式 /((\%3D)|(=))[^ ]*((\%27)|(‘)|(--) |(\%3B)|(:))/i 2.3、典型的 SQL 注入攻击的正则表达式 /w*((\%27)|(‘))((\%6F)|o|(\%4F))((\%72)|r|( ))/ix 2.4、检测SQL注入，UNION查询关键字的正则表达式 /((\%27)|(‘))union/ix(\%27)|(‘) - 单引号和它的hex等值union - union关键字。 2.5、检测MS SQL Server SQL注入攻击的正则表达式 /exec(s|+)+(s|x)pw+/ix3、字符串过滤public static String filterContent(String content){String flt ="‘|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|; |or|-|+|,";Stringfilter[] = flt.split("|");for(int i=0; i {content.replace(filter[i], "");}return content;}4、不安全字符屏蔽本部分采用js来屏蔽，起的作用很小，这样用屏蔽关键字的方法虽然有一定作用，但是在实际应用中这些 SQL的关键字也可能成为真正的查询关键字，到那是被你屏蔽了那用户不是不能正常的使用了。 只要在代码规范上下点功夫就可以了。凡涉及到执行的SQL中有变量时，用JDBC（或者其他数据持久层）提供的如：PreparedStatement就可以 ，切记不要用拼接字符串的方法就可以了.功能介绍：检查是否含有"‘","\","/"参数说明：要检查的字符串返回值：0：是 1：不是函数名是function check(a){return 1;fibdn = new Array ("‘" ,"\","/");i=fibdn.length;j=a.length;for (ii=0; ii { for (jj=0; jj{ temp1=a.charAt(jj);temp2=fibdn[ii];if (tem‘; p1==temp2){ return 0; }}}return 1;}如何防止sql注入标签：

select id="selectByNameAndPassword" parameterType="java.util.Map" resultMap="BaseResultMap">select id, username, password, rolefrom userwhere username = #{username,jdbcType=VARCHAR}and password = #{password,jdbcType=VARCHAR}</select><select id="selectByNameAndPassword" parameterType="java.util.Map" resultMap="BaseResultMap">select id, username, password, rolefrom userwhere username = ${username,jdbcType=VARCHAR}and password = ${password,jdbcType=VARCHAR}</select>mybatis中的#和$的区别：1、#将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。如：where username=#{username}，如果传入的值是111,那么解析成sql时的值为where username="111", 如果传入的值是id，则解析成的sql为where username="id".2、$将传入的数据直接显示生成在sql中。如：where username=${username}，如果传入的值是111,那么解析成sql时的值为where username=111；如果传入的值是;drop table user;，则解析成的sql为：select id, username, password, role from user where username=;drop table user;3、#方式能够很大程度防止sql注入，$方式无法防止Sql注入。4、$方式一般用于传入数据库对象，例如传入表名.5、一般能用#的就别用$，若不得不使用“${xxx}”这样的参数，要手工地做好过滤工作，来防止sql注入攻击。6、在MyBatis中，“${xxx}”这样格式的参数会直接参与SQL编译，从而不能避免注入攻击。但涉及到动态表名和列名时，只能使用“${xxx}”这样的参数格式。所以，这样的参数需要我们在代码中手工进行处理来防止注入。【结论】在编写MyBatis的映射语句时，尽量采用“#{xxx}”这样的格式。若不得不使用“${xxx}”这样的参数，要手工地做好过滤工作，来防止SQL注入攻击。2、什么是sql注入sql注入解释：是一种代码注入技术，用于攻击数据驱动的应用，恶意的SQL语句被插入到执行的实体字段中（例如，为了转储数据库内容给攻击者）SQL注入，大家都不陌生，是一种常见的攻击方式。攻击者在界面的表单信息或URL上输入一些奇怪的SQL片段（例如“or ‘1"="1"”这样的语句），有可能入侵参数检验不足的应用程序。所以，在我们的应用中需要做一些工作，来防备这样的攻击方式。在一些安全性要求很高的应用中（比如银行软件），经常使用将SQL语句全部替换为存储过程这样的方式，来防止SQL注入。这当然是一种很安全的方式，但我们平时开发中，可能不需要这种死板的方式。3、mybatis是如何做到防止sql注入的MyBatis框架作为一款半自动化的持久层框架，其SQL语句都要我们自己手动编写，这个时候当然需要防止SQL注入。其实，MyBatis的SQL是一个具有“输入+输出”的功能，类似于函数的结构，参考上面的两个例子。其中，parameterType表示了输入的参数类型，resultType表示了输出的参数类型。回应上文，如果我们想防止SQL注入，理所当然地要在输入参数上下功夫。上面代码中使用#的即输入参数在SQL中拼接的部分，传入参数后，打印出执行的SQL语句，会看到SQL是这样的：select id, username, password, role from user where username=? and password=?不管输入什么参数，打印出的SQL都是这样的。这是因为MyBatis启用了预编译功能，在SQL执行前，会先将上面的SQL发送给数据库进行编译；执行时，直接使用编译好的SQL，替换占位符“?”就可以了。因为SQL注入只能对编译过程起作用，所以这样的方式就很好地避免了SQL注入的问题。【底层实现原理】MyBatis是如何做到SQL预编译的呢？其实在框架底层，是JDBC中的PreparedStatement类在起作用，PreparedStatement是我们很熟悉的Statement的子类，它的对象包含了编译好的SQL语句。这种“准备好”的方式不仅能提高安全性，而且在多次执行同一个SQL时，能够提高效率。原因是SQL已编译好，再次执行时无需再编译。//安全的，预编译了的Connection conn = getConn();//获得连接String sql = "select id, username, password, role from user where id=?"; //执行sql前会预编译号该条语句PreparedStatement pstmt = conn.prepareStatement(sql); pstmt.setString(1, id); ResultSet rs=pstmt.executeUpdate(); ......//不安全的，没进行预编译private String getNameByUserId(String userId) { Connection conn = getConn();//获得连接 String sql = "select id,username,password,role from user where id=" + id; //当id参数为"3;drop table user;"时，执行的sql语句如下: //select id,username,password,role from user where id=3; drop table user; PreparedStatement pstmt = conn.prepareStatement(sql); ResultSet rs=pstmt.executeUpdate(); ......}【结论：】#{}：相当于JDBC中的PreparedStatement${}：是输出变量的值简单说，#{}是经过预编译的，是安全的；${}是未经过预编译的，仅仅是取变量的值，是非安全的，存在SQL注入。如果我们order by语句后用了${}，那么不做任何处理的时候是存在SQL注入危险的。你说怎么防止，那我只能悲惨的告诉你，你得手动处理过滤一下输入的内容。如判断一下输入的参数的长度是否正常（注入语句一般很长），更精确的过滤则可以查询一下输入的参数是否在预期的参数集合中。4、参考文章http://blog.csdn.net/yizhenn/article/details/52384601https://www.cnblogs.com/200911/p/5869097.htmlhttp://www.jb51.net/article/95314.htmmybatis是如何防止SQL注入的标签：输出变量功能tpssql语句fromurlhub表示连接

所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。我们需要对应用站点做测试，判断是否存在SQL注入漏洞。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。[1]比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．x0dx0a更多关于什么是sql注入测试，进入：https://m.abcgonglue.com/ask/7c74091615830905.html?zd查看更多内容

除非是很早之前的原生系统,现在的项目只要是使用了框架,都或多或少集成了基础的sql防注入机制.

所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造（或者影响）动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。常见的SQL注入式攻击过程类如：⑴ 某个ASP.NET Web应用有一个登录页面，这个登录页面控制着用户是否有权访问应用，它要求用户输入一个名称和密码。⑵ 登录页面中输入的内容将直接用来构造动态的SQL命令，或者直接用作存储过程的参数。

随着互联网的普及，网络安全变得越来越重要。Java等程序员需要掌握基本的web安全知识，防患于未然，下面列举一些常见的安全漏洞，以及对应的防御解决方案。 1.前端安全 2.后端安全 1.XSS简介 跨站脚本（cross site script）简称为XSS，是一种经常出现在web应用中的计算机安全漏洞，也是web中最主流的攻击方式。 XSS是指恶意攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而添加一些代码，嵌入到web页面中去，使别的用户访问都会执行相应的嵌入代码。 2.XSS攻击的危害 1、盗取用户资料，比如：登录帐号、网银帐号等 2、利用用户身份，读取、篡改、添加、删除企业敏感数据等 3、盗窃企业重要的具有商业价值的资料 4、非法转账 5、强制发送电子邮件 6、网站挂马 7、控制受害者机器向其它网站发起攻击 3.防止XSS解决方案 XSS的根源主要是没完全过滤客户端提交的数据 ，所以重点是要过滤用户提交的信息。 1.CSRF简介 CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。 XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF更具危险性。 2.CSRF攻击的危害 主要的危害来自于，攻击者盗用了用户身份，发送恶意请求。比如：模拟用户的行为发送邮件，发消息，以及支付、转账等财产安全。 3.防止CSRF的解决方案 1.简介 SQL注入是比较常见的网络攻击方式之一，主要是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，实现无帐号登录，甚至篡改数据库。 2.SQL注入的危害 3.防止SQL注入的方式 通常情况下，SQL注入的位置包括： （1）表单提交，主要是POST请求，也包括GET请求； （2）URL参数提交，主要为GET请求参数； （3）Cookie参数提交； （4）HTTP请求头部的一些可修改的值，比如Referer、User_Agent等； 4.简要举例 举一个简单的例子,select * from user where id=100 ,表示查询id为100的用户信息，如果id=100变为 id=100 or 2=2,sql将变为：select * from user where id=100 or 2=2，将把所有user表的信息查询出来，这就是典型的sql注入。 5.防止SQL注入的解决方案 1）对用户的输入进行校验，使用正则表达式过滤传入的参数 2）使用参数化语句，不要拼接sql，也可以使用安全的存储过程 3）不要使用管理员权限的数据库连接，为每个应用使用权限有限的数据库连接 4）检查数据存储类型 5）重要的信息一定要加密 总之就是既要做好过滤与编码并使用参数化语句，也要把重要的信息进行加密处理，这样sql注入漏洞才能更好的解决。 以上就是Web安全介绍，更多Redis系列、Spring Cloud、Dubbo等微服务、MySQL数据库分库分表等架构设计，具体请参考： 回复关键词 【高并发】即可获取！

(1)对于动态构造SQL查询的场合，可以使用下面的技术：第一：替换单引号，即把所有单独出现的单引号改成两个单引号，防止攻击者修改SQL命令的含义。再来看前面的例子，“SELECT * from Users WHERE login = """ or ""1""=""1" AND password = """ or ""1""=""1"”显然会得到与“SELECT * from Users WHERE login = "" or "1"="1" AND password = "" or "1"="1"”不同的结果。第二：删除用户输入内容中的所有连字符，防止攻击者构造出类如“SELECT * from Users WHERE login = "mas" -- AND password =""”之类的查询，因为这类查询的后半部分已经被注释掉，不再有效，攻击者只要知道一个合法的用户登录名称，根本不需要知道用户的密码就可以顺利获得访问权限。第三：对于用来执行查询的数据库帐户，限制其权限。用不同的用户帐户执行查询、插入、更新、删除操作。由于隔离了不同帐户可执行的操作，因而也就防止了原本用于执行SELECT命令的地方却被用于执行INSERT、UPDATE或DELETE命令。⑵ 用存储过程来执行所有的查询。SQL参数的传递方式将防止攻击者利用单引号和连字符实施攻击。此外，它还使得数据库权限可以限制到只允许特定的存储过程执行，所有的用户输入必须遵从被调用的存储过程的安全上下文，这样就很难再发生注入式攻击了。⑶ 限制表单或查询字符串输入的长度。如果用户的登录名字最多只有10个字符，那么不要认可表单中输入的10个以上的字符，这将大大增加攻击者在SQL命令中插入有害代码的难度。⑷ 检查用户输入的合法性，确信输入的内容只包含合法的数据。数据检查应当在客户端和服务器端都执行——之所以要执行服务器端验证，是为了弥补客户端验证机制脆弱的安全性。在客户端，攻击者完全有可能获得网页的源代码，修改验证合法性的脚本（或者直接删除脚本），然后将非法内容通过修改后的表单提交给服务器。因此，要保证验证操作确实已经执行，唯一的办法就是在服务器端也执行验证。你可以使用许多内建的验证对象，例如RegularExpressionValidator，它们能够自动生成验证用的客户端脚本，当然你也可以插入服务器端的方法调用。如果找不到现成的验证对象，你可以通过CustomValidator自己创建一个。⑸ 将用户登录名称、密码等数据加密保存。加密用户输入的数据，然后再将它与数据库中保存的数据比较，这相当于对用户输入的数据进行了“消毒”处理，用户输入的数据不再对数据库有任何特殊的意义，从而也就防止了攻击者注入SQL命令。System.Web.Security.FormsAuthentication类有一个HashPasswordForStoringInConfigFile，非常适合于对输入数据进行消毒处理。⑹ 检查提取数据的查询所返回的记录数量。如果程序只要求返回一个记录，但实际返回的记录却超过一行，那就当作出错处理。---------------------------------------------------------------------------------------------------------------------------关键是明白原理，其实防范很简单的， 1.过滤SQL需要的参数中的敏感字符（注意加入忽略大小写） 2.禁用数据库服务器的xp_cmdshell存储过程，删除相应用到的dll 3.屏蔽服务器异常信息

什么是SQL注入？所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。比如现在数据库中有一个front_user表，表结构如下：class User(models.Model): telephone = models.CharField(max_length=11) username = models.CharField(max_length=100) password = models.CharField(max_length=100)然后我们使用原生sql语句实现以下需求：1. 实现一个根据用户id获取用户详情的视图。示例代码如下：def index(request): user_id = request.GET.get("user_id") cursor = connection.cursor() cursor.execute("select id,username from front_user where id=%s" % user_id) rows = cursor.fetchall() for row in rows: print(row) return HttpResponse("success")这样表面上看起来没有问题。但是如果用户传的user_id是等于1 or 1=1，那么以上拼接后的sql语句为：select id,username from front_user where id=1 or 1=1以上sql语句的条件是id=1 or 1=1，只要id=1或者是1=1两个有一个成立，那么整个条件就成立。毫无疑问1=1是肯定成立的。因此执行完以上sql语句后，会将front_user表中所有的数据都提取出来。2. 实现一个根据用户的username提取用户的视图。示例代码如下：def index(request): username = request.GET.get("username") cursor = connection.cursor() cursor.execute("select id,username from front_user where username="%s"" % username) rows = cursor.fetchall() for row in rows: print(row) return HttpResponse("success")这样表面上看起来也没有问题。但是如果用户传的username是zhiliao" or "1=1，那么以上拼接后的sql语句为：select id,username from front_user where username="zhiliao" or "1=1"以上sql语句的条件是username="zhiliao"或者是一个字符串，毫无疑问，字符串的判断是肯定成立的。因此会将front_user表中所有的数据都提取出来。sql注入防御，归类起来主要有以下几点：以上便是sql注入的原理。他通过传递一些恶意的参数来破坏原有的sql语句以便达到自己的目的。当然sql注入远远没有这么简单，我们现在讲到的只是冰山一角。那么如何防御sql注入呢？1. 永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和 双"-"进行转换等。2. 永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。比如：def index(request): user_id = "1 or 1=1" cursor = connection.cursor() cursor.execute("select id,username from front_user where id=%s",(user_id,)) rows = cursor.fetchall() for row in rows: print(row) return HttpResponse("success")3. 永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。4. 不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。5. 应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装。总结：1. 在网页中利用sql语句进行注入攻击，网页获取用户输入参数，但有些恶意用户利用特殊sql语句上传参数，后端获取参数若不对其正确性合法性进行判断，则有可能对数据库造成危害2. get和post上传数据的时候，做好对参数的检查3. 利用Dajngo的ORM可有效避免sql注入，因为Django已经对特殊字符进行转义

在最近两年中，安全专家应该对网络应用层的攻击更加重视。因为无论你有多强壮的防火墙规则设置或者非常勤于补漏的修补机制，如果你的网络应用程序开发者没有遵循 安全代码进行开发，攻击者将通过80端口进入你的系统。广泛被使用的两个主要攻击技术是SQL注入[ref1]和CSS[ref2]攻击。SQL注入是指：通过互联网的输入区域，插入SQL meta-characters（特殊字符 代表一些数据）和指令，操纵执行后端的SQL查询的技术。这些攻击主要针对其他组织的WEB服务器。CSS攻击通过在URL里插入script标签，然后诱导信任它们的用户点击它们，确保恶意Javascript代码在受害人的机器上运行。这些攻击利用了用户和服务器之间的信任关系，事实上服务器没有对输入、输出进行检测，从而未拒绝javascript代码。 这篇文章讨论SQL注入和CSS攻击漏洞的检测技术。网上已经有很多关于这两种基于WEB攻击的讨论，比如如何实施攻击，他们的影响，怎样更好的编制和设计程序防止这些攻击。 然而, 对如何检测这些攻击并没有足够的讨论。我们采用流行的开源的IDS Snort[ref 3],组建根据检测这些攻击的规则的正则表达式。附带，Snort默认规则设定包含检测CSS的方法，但是这些容易被避开检测。比如大多通过hex进制编码,如%3C%73%63%72%69%70% 74%3E代替避开检测。 依赖level of paranoia组织的能力，我们已经编写了多种检测相同攻击的规则。如果你希望检测各种可能的SQL注入攻击，那么你需要简单的留意任何现行的SQL meta-characters，如单引号，分号和双重破折号。同样的一个极端检测CSS攻击的方法，只要简单地提防HTML标记的角括号。但这样会检测 出很多错误。为了避免这些，这些规则需要修改使它检测更精确些, 当仍然不能避免错误。 在Snort规则中使用pcre(Perl Compatible Regular Expressions)[ref4]关键字，每个规则可以带或不带其他规则动作。这些规则也可以被公用软件如grep(文档搜索工具)使用，来审阅网络服务器日志。 但是,需要警惕的是，用户的输入只有当以GET提交请求时，WEB服务器才会记录日记,如果是以POST提交的请求在日记中是不会记录的。 2. SQL注入的正则表示式 当 你为SQL注入攻击选择正则表示式的时候，重点要记住攻击者可以通过提交表单进行SQL注入，也可以通过Cookie区域。你的输入检测逻辑应该考虑用户组织的各类型输入(比如表单或Cookie信息)。并且如果你发现许多警告来自一个规则，请留意单引号或者是分号，也许些字符是你的Web应用程序创造的 合法的在CookieS中的输入。因此, 您需要根据你的特殊的WEB应用程序评估每个规则。 依照前面提到，一个琐细的检测SQL射入攻击的正则表达式要留意SQL特殊的meta-characters 譬如单引号(")双重扩则号(--),为了查出这些字符和他们hex等值数, 以下正则表达式适用: 2.1 检测SQL meta-characters的正则表达式 /(\%27)|(")|(--)|(\%23)|(#)/ix 解释: 我 们首先检查单引号等值的hex，单引号本身或者双重扩折号。这些是MS SQL Server或Oracle的字符, 表示后边的为评论, 随后的都将被忽略。 另外，如果你使用MySQL,你需要留意 "#"和它等值的hex的出现。注意我们不需要检查双重破折号等值的hex, 因为这不是HTML meta-character, 浏览器不会进行编码。 并且, 如果攻击者设法手工修改双重破折号为它的hex值%2D(使用代理像Achilles[ref 5]), SQL注入将失败。 加入上述正则表达式的新的Snort规则如下: alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"SQL Injection - Paranoid"; flow:to_server,established;uricontent:".pl";pcre:"/(\%27)|(")|(--)|(%23)|(#)/i"; classtype:Web-application-attack; sid:9099; rev:5;) 在本篇讨论中, uricontent关键字的值为".pl ", 因为在我们的测试环境里, CGI 程序是用Perl写的。uricontent关键字的值取决于您的特殊应用, 这个值也许是".php ", 或" .asp ", 或" .jsp ", 等。 从这点考虑, 我们不显示对应的Snort 规则, 但是我们会给出创造这些规则的正则表达式。 通过这些正则表达式你可以很简单的创造很多的Snort规则.在前面的正则表达式里, 我们检测双重破折号是因为：即便没有单引号的存在那里也可能是SQL射入点[ref 6]。 例如, SQL查询条目只包含数值，如下: select value1, value2, num_value3 from database where num_value3=some_user_supplied_number 这种情况，攻击者可以执行额外的SQL查询, 示范提交如下输入: 3; insert values into some_other_table 最后, pcre的修饰符" i" 和" x " 是用于分别匹配大小写和忽略空白处的。 上面的规则也可以另外扩展来检查分号的存在。然而，分号很可以是正常HTTP应答的一部分。为了减少这种错误，也是为了任何正常的单引号和双重扩折号的出 现，上面的规则应该被修改成先检测＝号的存。用户输入会响应一个GET或POST请求，一般输入提交如下： username=some_user_supplied_value&password=some_user_supplied_value 因此, SQL 注入尝试将导致用户的输入出现在a = 号或它等效的hex值之后。 2.2 修正检测SQL meta-characters的正则表达式 /((\%3D)|(=))[^ ]*((\%27)|(")|(--)|(\%3B)|(:))/i 解释: 这个规则首先留意 = 号或它的hex值(%3D)，然后考虑零个或多个除换行符以外的任意字符，最后检测单引号，双重破折号或分号。 典 型的SQL注入会尝试围绕单引号的用途操作原来的查询，以便得到有用的价值。讨论这个攻击一般使用1"or"1"="1字符串. 但是, 这个串的侦查很容易被逃避，譬如用1"or2>1 --. 然而唯一恒定的部分是最初的字符的值，跟随一单引号，再加"or"。随后的布尔逻辑可能在一定范围上变化，可以是普通样式也可能是非常复杂的。这些攻击可 以相当精确被侦测，通过以下的正则表达式。2.3章节讲解。 2.3 典型的 SQL 注入攻击的正则表达式 /w*((\%27)|("))((\%6F)|o|(\%4F))((\%72)|r|(\%52))/ix 解释: w* - 零个或多个字符或者下划线。 (\%27)|" - 单引号或它的hex等值。 (\%6 F)|o|(\%4 F))((\%72)|r|-(\%52) －‘or"的大小写以及它的hex等值。 "union"SQL 查询在SQL注入各种数据库中攻击中同样是很常见的。如果前面的正则表达式仅仅检测单引号或则其他的SQL meta characters ，会造成很多的错误存在。你应该进一步修改查询，检测单引号和关键字‘union"。这同样可以进一步扩展其他的SQL关键字，像"select", "insert", "update", "delete", 等等。 2.4 检测SQL注入，UNION查询关键字的正则表达式 /((\%27)|("))union/ix (\%27)|(") - 单引号和它的hex等值 union - union关键字 可以同样为其他SQL查询定制表达式，如 >select, insert, update, delete, drop, 等等. 如 果，到这个阶段，攻击者已经发现web应用程序存在SQL注入漏洞，他将尝试利用它。如果他认识到后端服务器式MS SQL server，他一般会尝试运行一些危险的储存和扩展储存过程。这些过程一般以‘sp"或‘xp"字母开头。典型的，他可能尝试运行 ‘xp_cmdshell"扩展储存过程（通过SQL Server执行Windows 命令）。SQL服务器的SA权限有执行这些命令的权限。同样他们可以通过xp_regread, xp_regwrite等储存过程修改注册表。 2.5 检测MS SQL Server SQL注入攻击的正则表达式 /exec(s|+)+(s|x)pw+/ix 解释: exec - 请求执行储存或扩展储存过程的关键字 (s|+)+ - 一个或多个的空白或它们的http等值编码 (s|x) p- ‘sp"或‘xp"字母用来辨认储存或扩展储存过程 w+ - 一个或多个字符或下划线来匹配过程的名称 3. 跨站脚本(CSS)的正则表达式 当 发动CSS攻击或检测一个网站漏洞的时候, 攻击者可能首先使简单的HTML标签如(粗体),(斜体)或(下划线)，或者他可能尝试简单的 script标签如alert("OK"). 因为大多数出版物和网络传播的检测网站是否有css漏洞都拿这个作为例子。这些尝试都可以很简单的被检测出来。 然而，高明点的攻击者可能用它的hex值替换整个字符串。这样标签会以%3C%73%63%72%69%70%74%3E出 现。 另一方面，攻击者可能使用web代理服务器像Achilles会自动转换一些特殊字符如换成%3E.这样攻击发生时，URL 中通常以hex等值代替角括号。 下列正则表达式将检测任何文本中包含的html的。它将捉住试图使用、、或。这正则表达式应该忽略大小写。我们需要同时检测角括号和它的hex等值(% 3C| 3.1 一般 CSS 攻击的正则表达式 /((\%3C)|)/ix 解释: ((\%3C)|) －检查>或它的hex等值 Snort 规则: alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"NII Cross-site scripting attempt"; flow:to_server,established; pcre:"/((\%3C)|)/i"; classtype:Web-application-attack; sid:9000; rev:5;) 跨站脚本同样可以使用技术。现行默认的snort规则可以被轻易避开。 3.2章节提供了防止这种技术的方法。 3.2 " /((\%3C)|)/I 解释: (\%3 C)|) ->或它的hex等值 3.3 CSS 攻击的极端的正则表达式 /((\%3C)|)/I 解释: 这个规则简单寻找。由于你的web服务器和web应用程序的构架，这个规则可能产生一些错误。但它能保证捉住任何CCS或者类似CSS的攻击。 一个不错避开过滤的CSS方法请参考Bugtraq投稿的 但是请注意最后一种极端的规则将能检测这所有的攻击。 总结: 在这篇文章中，我们提出了不同种类的正则表达式规则来检测SQL注入和跨站脚本攻击。有些规则简单而极端，一个潜在的攻击都将提高警惕。但这些极端的规则可能导致一些主动的错误。考虑到这点，我们修改了这些简单的规则，利用了另外的样式，他们可以检查的更准确些。在这些网络应用成的攻击检测中，我们推荐将这 些作为调试你IDS或日志分析方法的起点。再经过几次修改后，在你对正常网交易部分的非恶意应答进行评估以后，你应该可以准备的检测那些攻击了。

SQL是操作数据库数据的结构化查询语言，网页的应用数据和后台数据库中的数据进行交互时会采用SQL。SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。它是利用现有应用程序，将恶意的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。SQL注入漏洞特点如下：1、广泛性：任何一个基于SQL语言的数据库都可能被攻击，很多开发人员在编写Web应用程序时未对从输入参数、Web表单、Cookie等接收到的值进行规范性验证和检测，通常会出现SQL注入漏洞。2、隐蔽性：SQL注入语句一般都嵌入在普通的HTPP请求中，很难与正常语句区分开，所以当前许多防火墙都无法识别予以警告，而且SQL注入变种极多，攻击者可以调整攻击的参数，所以使用传统的方法防御SQL注入效果非常不理想。3、危害大：攻击者可以通过SQL注入获取到服务器的库名、表名、字段名，从而获取到整个服务器中的数据，对网站用户的数据安全有极大的威胁。攻击者也可以通过获取到的数据，得到后台管理员的密码，然后对网页页面进行恶意篡改。这样不仅对数据库信息安全造成严重威胁，对整个数据库系统安全也有很大的影响。4、操作方便：互联网上有很多SQL注入工具，简单易学、攻击过程简单，不需要专业的知识也可以自如运用。

1.POST注入，通用防注入一般限制get，但是有时候不限制post或者限制的很少，这时候你就可以试下post注入，比如登录框、搜索框、投票框这类的。另外，在asp中post已被发扬光大，程序员喜欢用receive来接受数据，这就造成了很多时候get传递的参数通过post/cookie也能传递，这时如果恰好防注入程序只限制了get，因此post注入不解释2.cookie注入，原理同post注入，绕过相当多通用防注入3.二次注入，第一次注入的数据可能不会有效，但是如果将来能在某个页面里面被程序处理呢?注入来了……4.csrf，适合后台地址已知并且存在已知0day，可以试试用csrf劫持管理员来进行操作（这招其实不属于sql注入了）5.打碎关键字，比如过滤select，我可以用sel/**/ect来绕过，这招多见于mysql6.有时候也可以sELeCT这样大小写混淆绕过7.用chr对sql语句编码进行绕过8.如果等于号不好使，可以试试大于号或者小于号，如果and不好使可以试试or，这样等价替换9.多来几个关键字确定是什么防注入程序，直接猜测源码或者根据报错关键字（如"非法操作，ip地址已被记录"）把源码搞下来研究10.记录注入者ip和语句并写入文件或数据库，然而数据库恰好是asp的，插马秒杀

1.POST注入，通用防注入一般限制get，但是有时候不限制post或者限制的很少，这时候你就可以试下post注入，比如登录框、搜索框、投票框这类的。另外，在asp中post已被发扬光大，程序员喜欢用receive来接受数据，这就造成了很多时候get传递的参数通过post/cookie也能传递，这时如果恰好防注入程序只限制了get，因此post注入不解释2.cookie注入，原理同post注入，绕过相当多通用防注入3.二次注入，第一次注入的数据可能不会有效，但是如果将来能在某个页面里面被程序处理呢?注入来了……4.csrf，适合后台地址已知并且存在已知0day，可以试试用csrf劫持管理员来进行操作（这招其实不属于sql注入了）5.打碎关键字，比如过滤select，我可以用sel/**/ect来绕过，这招多见于mysql6.有时候也可以sELeCT这样大小写混淆绕过7.用chr对sql语句编码进行绕过8.如果等于号不好使，可以试试大于号或者小于号，如果and不好使可以试试or，这样等价替换9.多来几个关键字确定是什么防注入程序，直接猜测源码或者根据报错关键字（如"非法操作，ip地址已被记录"）把源码搞下来研究10.记录注入者ip和语句并写入文件或数据库，然而数据库恰好是asp的，插马秒杀

1.POST注入，通用防注入一般限制get，但是有时候不限制post或者限制的很少，这时候你就可以试下post注入，比如登录框、搜索框、投票框这类的。另外，在asp中post已被发扬光大，程序员喜欢用receive来接受数据，这就造成了很多时候get传递的参数通过post/cookie也能传递，这时如果恰好防注入程序只限制了get，因此post注入不解释2.cookie注入，原理同post注入，绕过相当多通用防注入3.二次注入，第一次注入的数据可能不会有效，但是如果将来能在某个页面里面被程序处理呢?注入来了……4.csrf，适合后台地址已知并且存在已知0day，可以试试用csrf劫持管理员来进行操作（这招其实不属于sql注入了）5.打碎关键字，比如过滤select，我可以用sel/**/ect来绕过，这招多见于mysql6.有时候也可以sELeCT这样大小写混淆绕过7.用chr对sql语句编码进行绕过8.如果等于号不好使，可以试试大于号或者小于号，如果and不好使可以试试or，这样等价替换9.多来几个关键字确定是什么防注入程序，直接猜测源码或者根据报错关键字（如"非法操作，ip地址已被记录"）把源码搞下来研究10.记录注入者ip和语句并写入文件或数据库，然而数据库恰好是asp的

做为网络开发者的你对这种黑客行为恨之入骨，当然也有必要了解一下SQL注入这种功能方式的原理并学会如何通过代码来保护自己的网站数据库。今天就通过PHP和MySQL数据库为例，分享一下我所了解的SQL注入攻击和一些简单的防范措施和一些如何避免SQL注入攻击的建议。简单来说，SQL注入是使用代码漏洞来获取网站或应用程序后台的SQL数据库中的数据，进而可以取得数据库的访问权限。比如，黑客可以利用网站代码的漏洞，使用SQL注入的方式取得一个公司网站后台数据库里所有的数据信息。拿到数据库管理员登录用户名和密码后黑客可以自由修改数据库中的内容甚至删除该数据库。SQL注入也可以用来检验一个网站或应用的安全性。SQL注入的方式有很多种，但本文将只讨论最基本的原理，我们将以PHP和MySQL为例。本文的例子很简单，如果你使用其它语言理解起来也不会有难度，重点关注SQL命令即可。一个简单的SQL注入攻击案例假如我们有一个公司网站，在网站的后台数据库中保存了所有的客户数据等重要信息。假如网站登录页面的代码中有这样一条命令来读取用户信息。$q="SELECT`id`FROM`users`WHERE`username`="".$_GET["username"].""AND`password`="".$_GET["password"].""";?>现在有一个黑客想攻击你的数据库，他会尝试在此登录页面的用户名的输入框中输入以下代码:";SHOWTABLES;点击登陆键，这个页面就会显示出数据库中的所有表。如果他现在使用下面这行命令:";DROPTABLE[tablename];这样他就把一张表删除了!防范SQL注入-使用mysql_real_escape_string()函数在数据库操作的代码中用这个函数mysql_real_escape_string()可以将代码中特殊字符过滤掉，如引号等。如下例:$q="SELECT`id`FROM`users`WHERE`username`="".mysql_real_escape_string($_GET["username"]).""AND`password`="".mysql_real_escape_string($_GET["password"]).""";?>防范SQL注入-使用mysql_query()函数mysql_query()的特别是它将只执行SQL代码的第一条，而后面的并不会执行。回想在最前面的例子中，黑客通过代码来例后台执行了多条SQL命令，显示出了所有表的名称。所以mysql_query()函数可以取到进一步保护的作用。我们进一步演化刚才的代码就得到了下面的代码://connection$database=mysql_connect("localhost","username","password");//dbselection$q=mysql_query("SELECT`id`FROM`users`WHERE`username`="".mysql_real_escape_string($_GET["username"]).""AND`password`="".mysql_real_escape_string($_GET["password"]).""",$database);?>除此之外，我们还可以在PHP代码中判断输入值的长度，或者专门用一个函数来检查输入的值。所以在接受用户输入值的地方一定要做好输入内容的过滤和检查。当然学习和了解最新的SQL注入方式也非常重要，这样才能做到有目的的防范。如果使用的是平台式的网站系统如Wordpress，要注意及时打上官方的补丁或升级到新的版本。

SQL注入：利用现有应用程序，将(恶意)的SQL命令注入到后台数据库引擎执行的能力，这是SQL注入的标准释义。

SQL注入：利用现有应用程序，将(恶意)的SQL命令注入到后台数据库引擎执行的能力，这是SQL注入的标准释义。

SQL注入：利用现有应用程序，将(恶意)的SQL命令注入到后台数据库引擎执行的能力，这是SQL注入的标准释义。

SQL注入攻击的危害很大，而且防火墙很难对攻击行为进行拦截，主要的SQL注入攻击防范方法，具体有以下几个方面。1、分级管理对用户进行分级管理，严格控制用户的权限，对于普通用户，禁止给予数据库建立、删除、修改等相关权限，只有系统管理员才具有增、删、改、查的权限。2、参数传值程序员在书写SQL语言时，禁止将变量直接写入到SQL语句，必须通过设置相应的参数来传递相关的变量。从而抑制SQL注入。数据输入不能直接嵌入到查询语句中。同时要过滤输入的内容，过滤掉不安全的输入数据。或者采用参数传值的方式传递输入变量，这样可以最大程度防范SQL注入攻击。3、基础过滤与二次过滤SQL注入攻击前，入侵者通过修改参数提交and等特殊字符，判断是否存在漏洞，然后通过select、update等各种字符编写SQL注入语句。因此防范SQL注入要对用户输入进行检查，确保数据输入的安全性，在具体检查输入或提交的变量时，对于单引号、双引号、冒号等字符进行转换或者过滤，从而有效防止SQL注入。当然危险字符有很多，在获取用户输入提交参数时，首先要进行基础过滤，然后根据程序的功能及用户输入的可能性进行二次过滤，以确保系统的安全性。4、使用安全参数SQL数据库为了有效抑制SQL注入攻击的影响。在进行SQLServer数据库设计时设置了专门的SQL安全参数。在程序编写时应尽量使用安全参数来杜绝注入式攻击，从而确保系统的安全性。5、漏洞扫描为了更有效地防范SQL注入攻击，作为系统管理除了设置有效的防范措施，更应该及时发现系统存在SQL攻击安全漏洞。系统管理员可以采购一些SQL漏洞扫描工具，通过专业的扫描工具，可以及时的扫描到系统存在的相应漏洞。6、多层验证现在的网站系统功能越来越庞大复杂。为确保系统的安全，访问者的数据输入必须经过严格的验证才能进入系统，验证没通过的输入直接被拒绝访问数据库，并且向上层系统发出错误提示信息。同时在客户端访问程序中验证访问者的相关输入信息，从而更有效的防止简单的SQL注入。但是如果多层验证中的下层如果验证数据通过，那么绕过客户端的攻击者就能够随意访问系统。因此在进行多层验证时，要每个层次相互配合，只有在客户端和系统端都进行有效的验证防护，才能更好地防范SQL注入攻击。7、数据库信息加密传统的加解密方法大致分为三种：对称加密、非对称加密、不可逆加密。

一、 SQL注入攻击的简单示例。　　statement := "SELECT * FROM Users WHERE Value= " + a_variable + "　　上面这条语句是很普通的一条SQL语句，他主要实现的功能就是让用户输入一个员工编号然后查询处这个员工的信息。但是若这条语句被不法攻击者改装过后，就可能成为破坏数据的黑手。如攻击者在输入变量的时候，输入以下内容SA001";drop table c_order--。那么以上这条SQL语句在执行的时候就变为了SELECT * FROM Users WHERE Value= ‘SA001";drop table c_order--。　　这条语句是什么意思呢?‘SA001"后面的分号表示一个查询的结束和另一条语句的开始。c_order后面的双连字符 指示当前行余下的部分只是一个注释，应该忽略。如果修改后的代码语法正确，则服务器将执行该代码。系统在处理这条语句时，将首先执行查询语句，查到用户编号为SA001 的用户信息。然后，数据将删除表C_ORDER(如果没有其他主键等相关约束，则删除操作就会成功)。只要注入的SQL代码语法正确，便无法采用编程方式来检测篡改。因此，必须验证所有用户输入，并仔细检查在您所用的服务器中执行构造 SQL命令的代码。二、 SQL注入攻击原理。　　可见SQL注入攻击的危害性很大。在讲解其防止办法之前，数据库管理员有必要先了解一下其攻击的原理。这有利于管理员采取有针对性的防治措施。　　SQL注入是目前比较常见的针对数据库的一种攻击方式。在这种攻击方式中，攻击者会将一些恶意代码插入到字符串中。然后会通过各种手段将该字符串传递到SQLServer数据库的实例中进行分析和执行。只要这个恶意代码符合SQL语句的规则，则在代码编译与执行的时候，就不会被系统所发现。　　SQL注入式攻击的主要形式有两种。一是直接将代码插入到与SQL命令串联在一起并使得其以执行的用户输入变量。上面笔者举的例子就是采用了这种方法。由于其直接与SQL语句捆绑，故也被称为直接注入式攻击法。二是一种间接的攻击方法，它将恶意代码注入要在表中存储或者作为原书据存储的字符串。在存储的字符串中会连接到一个动态的SQL命令中，以执行一些恶意的SQL代码。　　注入过程的工作方式是提前终止文本字符串，然后追加一个新的命令。如以直接注入式攻击为例。就是在用户输入变量的时候，先用一个分号结束当前的语句。然后再插入一个恶意SQL语句即可。由于插入的命令可能在执行前追加其他字符串，因此攻击者常常用注释标记“—”来终止注入的字符串。执行时，系统会认为此后语句位注释，故后续的文本将被忽略，不背编译与执行。　　三、 SQL注入式攻击的防治。　　既然SQL注入式攻击的危害这么大，那么该如何来防治呢?下面这些建议或许对数据库管理员防治SQL注入式攻击有一定的帮助。　　1、 普通用户与系统管理员用户的权限要有严格的区分。　　如果一个普通用户在使用查询语句中嵌入另一个Drop Table语句，那么是否允许执行呢?由于Drop语句关系到数据库的基本对象，故要操作这个语句用户必须有相关的权限。在权限设计中，对于终端用户，即应用软件的使用者，没有必要给他们数据库对象的建立、删除等权限。那么即使在他们使用SQL语句中带有嵌入式的恶意代码，由于其用户权限的限制，这些代码也将无法被执行。故应用程序在设计的时候，最好把系统管理员的用户与普通用户区分开来。如此可以最大限度的减少注入式攻击对数据库带来的危害。　　 2、 强迫使用参数化语句。　　如果在编写SQL语句的时候，用户输入的变量不是直接嵌入到SQL语句。而是通过参数来传递这个变量的话，那么就可以有效的防治SQL注入式攻击。也就是说，用户的输入绝对不能够直接被嵌入到SQL语句中。与此相反，用户的输入的内容必须进行过滤，或者使用参数化的语句来传递用户输入的变量。参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。采用这种措施，可以杜绝大部分的SQL注入式攻击。不过可惜的是，现在支持参数化语句的数据库引擎并不多。不过数据库工程师在开发产品的时候要尽量采用参数化语句。3、 加强对用户输入的验证。　　总体来说，防治SQL注入式攻击可以采用两种方法，一是加强对用户输入内容的检查与验证;二是强迫使用参数化语句来传递用户输入的内容。在SQLServer数据库中，有比较多的用户输入内容验证工具，可以帮助管理员来对付SQL注入式攻击。测试字符串变量的内容，只接受所需的值。拒绝包含二进制数据、转义序列和注释字符的输入内容。这有助于防止脚本注入，防止某些缓冲区溢出攻击。测试用户输入内容的大小和数据类型，强制执行适当的限制与转换。这即有助于防止有意造成的缓冲区溢出，对于防治注入式攻击有比较明显的效果。　　如可以使用存储过程来验证用户的输入。利用存储过程可以实现对用户输入变量的过滤，如拒绝一些特殊的符号。如以上那个恶意代码中，只要存储过程把那个分号过滤掉，那么这个恶意代码也就没有用武之地了。在执行SQL语句之前，可以通过数据库的存储过程，来拒绝接纳一些特殊的符号。在不影响数据库应用的前提下，应该让数据库拒绝包含以下字符的输入。如分号分隔符，它是SQL注入式攻击的主要帮凶。如注释分隔符。注释只有在数据设计的时候用的到。一般用户的查询语句中没有必要注释的内容，故可以直接把他拒绝掉，通常情况下这么做不会发生意外损失。把以上这些特殊符号拒绝掉，那么即使在SQL语句中嵌入了恶意代码，他们也将毫无作为。　　故始终通过测试类型、长度、格式和范围来验证用户输入，过滤用户输入的内容。这是防止SQL注入式攻击的常见并且行之有效的措施。　　 4、 多多使用SQL Server数据库自带的安全参数。　　为了减少注入式攻击对于SQL Server数据库的不良影响，在SQLServer数据库专门设计了相对安全的SQL参数。在数据库设计过程中，工程师要尽量采用这些参数来杜绝恶意的SQL注入式攻击。　　如在SQL Server数据库中提供了Parameters集合。这个集合提供了类型检查和长度验证的功能。如果管理员采用了Parameters这个集合的话，则用户输入的内容将被视为字符值而不是可执行代码。即使用户输入的内容中含有可执行代码，则数据库也会过滤掉。因为此时数据库只把它当作普通的字符来处理。使用Parameters集合的另外一个优点是可以强制执行类型和长度检查，范围以外的值将触发异常。如果用户输入的值不符合指定的类型与长度约束，就会发生异常，并报告给管理员。如上面这个案例中，如果员工编号定义的数据类型为字符串型，长度为10个字符。而用户输入的内容虽然也是字符类型的数据，但是其长度达到了20个字符。则此时就会引发异常，因为用户输入的内容长度超过了数据库字段长度的限制。　　 5、 多层环境如何防治SQL注入式攻击?　　在多层应用环境中，用户输入的所有数据都应该在验证之后才能被允许进入到可信区域。未通过验证过程的数据应被数据库拒绝，并向上一层返回一个错误信息。实现多层验证。对无目的的恶意用户采取的预防措施，对坚定的攻击者可能无效。更好的做法是在用户界面和所有跨信任边界的后续点上验证输入。如在客户端应用程序中验证数据可以防止简单的脚本注入。但是，如果下一层认为其输入已通过验证，则任何可以绕过客户端的恶意用户就可以不受限制地访问系统。故对于多层应用环境，在防止注入式攻击的时候，需要各层一起努力，在客户端与数据库端都要采用相应的措施来防治SQL语句的注入式攻击。　　 6、 必要的情况下使用专业的漏洞扫描工具来寻找可能被攻击的点。　　使用专业的漏洞扫描工具，可以帮助管理员来寻找可能被SQL注入式攻击的点。不过漏洞扫描工具只能发现攻击点，而不能够主动起到防御SQL注入攻击的作用。当然这个工具也经常被攻击者拿来使用。如攻击者可以利用这个工具自动搜索攻击目标并实施攻击。为此在必要的情况下，企业应当投资于一些专业的漏洞扫描工具。一个完善的漏洞扫描程序不同于网络扫描程序，它专门查找数据库中的SQL注入式漏洞。最新的漏洞扫描程序可以查找最新发现的漏洞。所以凭借专业的工具，可以帮助管理员发现SQL注入式漏洞，并提醒管理员采取积极的措施来预防SQL注入式攻击。如果攻击者能够发现的SQL注入式漏洞数据库管理员都发现了并采取了积极的措施堵住漏洞，那么攻击者也就无从下手了。

随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。 SQL注入是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，所以目前市面的防火墙都不会对SQL注入发出警报，如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。 但是，SQL注入的手法相当灵活，在注入的时候会碰到很多意外的情况。能不能根据具体情况进行分析，构造巧妙的SQL语句，从而成功获取想要的数据，是高手与“菜鸟”的根本区别。 根据国情，国内的网站用ASP+Access或SQLServer的占70%以上，PHP+MySQ占L20%，其他的不足10%。在本文，我们从分入门、进阶至高级讲解一下ASP注入的方法及技巧，PHP注入的文章由NB联盟的另一位朋友zwell撰写，希望对安全工作者和程序员都有用处。了解ASP注入的朋友也请不要跳过入门篇，因为部分人对注入的基本判断方法还存在误区。大家准备好了吗？Let"s Go... 入门篇 如果你以前没试过SQL注入的话，那么第一步先把IE菜单=>工具=>Internet选项=>高级=>显示友好 HTTP 错误信息前面的勾去掉。否则，不论服务器返回什么错误，IE都只显示为HTTP 500服务器错误，不能获得更多的提示信息。 第一节、SQL注入原理 以下我们从一个网站 www.19cn.com 开始（注：本文发表前已征得该站站长同意，大部分都是真实数据）。 在网站首页上，有名为“IE不能打开新窗口的多种解决方法”的链接，地址为： http://www.19cn.com/showdetail.asp?id=49 ，我们在这个地址后面加上单引号"，服务器会返回下面的错误提示： Microsoft JET Database Engine 错误 "80040e14" 字符串的语法错误 在查询表达式 "ID=49"" 中。 /showdetail.asp，行8 从这个错误提示我们能看出下面几点： 1.网站使用的是Access数据库，通过JET引擎连接数据库，而不是通过ODBC。 2.程序没有判断客户端提交的数据是否符合程序要求。 3.该SQL语句所查询的表中有一名为ID的字段。 从上面的例子我们可以知道，SQL注入的原理，就是从客户端提交特殊的代码，从而收集程序及服务器的信息，从而获取你想到得到的资料。 第二节、判断能否进行SQL注入 看完第一节，有一些人会觉得：我也是经常这样测试能否注入的，这不是很简单吗？ 其实，这并不是最好的方法，为什么呢？ 首先，不一定每台服务器的IIS都返回具体错误提示给客户端，如果程序中加了cint(参数)之类语句的话，SQL注入是不会成功的，但服务器同样会报错，具体提示信息为处理 URL 时服务器上出错。请和系统管理员联络。 其次，部分对SQL注入有一点了解的程序员，认为只要把单引号过滤掉就安全了，这种情况不为少数，如果你用单引号测试，是测不到注入点的 那么，什么样的测试方法才是比较准确呢？答案如下： ① http://www.19cn.com/showdetail.asp?id=49 ② http://www.19cn.com/showdetail.asp?id=49 and 1=1 ③ http://www.19cn.com/showdetail.asp?id=49 and 1=2 这就是经典的1=1、1=2测试法了，怎么判断呢？看看上面三个网址返回的结果就知道了： 可以注入的表现： ① 正常显示（这是必然的，不然就是程序有错误了） ② 正常显示，内容基本与①相同 ③ 提示BOF或EOF（程序没做任何判断时）、或提示找不到记录（判断了rs.eof时）、或显示内容为空（程序加了on error resume next） 不可以注入就比较容易判断了，①同样正常显示，②和③一般都会有程序定义的错误提示，或提示类型转换时出错。 当然，这只是传入参数是数字型的时候用的判断方法，实际应用的时候会有字符型和搜索型参数，我将在中级篇的“SQL注入一般步骤”再做分析。 第三节、判断数据库类型及注入方法 不同的数据库的函数、注入方法都是有差异的，所以在注入之前，我们还要判断一下数据库的类型。一般ASP最常搭配的数据库是Access和SQLServer，网上超过99%的网站都是其中之一。 怎么让程序告诉你它使用的什么数据库呢？来看看： SQLServer有一些系统变量，如果服务器IIS提示没关闭，并且SQLServer返回错误提示的话，那可以直接从出错信息获取，方法如下： http://www.19cn.com/showdetail.asp?id=49 and user>0 这句语句很简单，但却包含了SQLServer特有注入方法的精髓，我自己也是在一次无意的测试中发现这种效率极高的猜解方法。让我看来看看它的含义：首先，前面的语句是正常的，重点在and user>0，我们知道，user是SQLServer的一个内置变量，它的值是当前连接的用户名，类型为nvarchar。拿一个nvarchar的值跟int的数0比较，系统会先试图将nvarchar的值转成int型，当然，转的过程中肯定会出错，SQLServer的出错提示是：将nvarchar值 ”abc” 转换数据类型为 int 的列时发生语法错误，呵呵，abc正是变量user的值，这样，不废吹灰之力就拿到了数据库的用户名。在以后的篇幅里，大家会看到很多用这种方法的语句。 顺便说几句，众所周知，SQLServer的用户sa是个等同Adminstrators权限的角色，拿到了sa权限，几乎肯定可以拿到主机的Administrator了。上面的方法可以很方便的测试出是否是用sa登录，要注意的是：如果是sa登录，提示是将”dbo”转换成int的列发生错误，而不是”sa”。 如果服务器IIS不允许返回错误提示，那怎么判断数据库类型呢？我们可以从Access和SQLServer和区别入手，Access和SQLServer都有自己的系统表，比如存放数据库中所有对象的表，Access是在系统表[msysobjects]中，但在Web环境下读该表会提示“没有权限”，SQLServer是在表[sysobjects]中，在Web环境下可正常读取。 在确认可以注入的情况下，使用下面的语句： http://www.19cn.com/showdetail.asp?id=49 and (select count(*) from sysobjects)>0 http://www.19cn.com/showdetail.asp?id=49 and (select count(*) from msysobjects)>0 如果数据库是SQLServer，那么第一个网址的页面与原页面 http://www.19cn.com/showdetail.asp?id=49 是大致相同的；而第二个网址，由于找不到表msysobjects，会提示出错，就算程序有容错处理，页面也与原页面完全不同。 如果数据库用的是Access，那么情况就有所不同，第一个网址的页面与原页面完全不同；第二个网址，则视乎数据库设置是否允许读该系统表，一般来说是不允许的，所以与原网址也是完全不同。大多数情况下，用第一个网址就可以得知系统所用的数据库类型，第二个网址只作为开启IIS错误提示时的验证

【答案】：随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根 据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即SQL注入。SQL注入是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，所以目前市面的防火墙都不会对SQL注入发出警报，如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。但是，SQL注入的手法相当灵活，在注入的时候会碰到很多意外的情况。能不能根据具体情况进行分析，构造巧妙的SQL语句，从而成功获取想要的数据。据统计，网站用ASP+Access或SQLServer的占70%以上，PHP+MySQ占L20%，其他的不足10%。在本文，以SQL-SERVER＋ASP例说明SQL注入的原理、方法与过程。（PHP注入的文章由NB联盟的另一位朋友zwell撰写的有关文章）SQL注入攻击的总体思路是：l 发现SQL注入位置；l 判断后台数据库类型；l 确定XP_CMDSHELL可执行情况l 发现WEB虚拟目录l 上传ASP木马；l 得到管理员权限；

干吗那么多字啊...ASP编程有一种漏洞~`就是执行命令后面跟参数可以被执行比如:页面里有 select * from [news] where id = 1 命令你在地址栏把传递的参数输入改为 id=2 那么就被执行了这种原理可以被传递恶意参数~`ACCESS可以被得到数据库地址并且进行下载,然后获得管理员密码SQL则可以直接被黑客管理~`甚至威胁到服务器本身~`防注入的代码有很多~`可以在网上找到~`

SQL注入：利用现有应用程序，将(恶意)的SQL命令注入到后台数据库引擎执行的能力，这是SQL注入的标准释义。

1、变种极多有经验的攻击者，也就是黑客会手工调整攻击的参数，致使攻击的数据是不可枚举的，这导致传统的特征匹配方法仅能识别到相当少的攻击。或者是最常规的攻击，难以做到防范。2、攻击简单攻击过程简单，目前互联网上流行的众多SQL注入攻击工具，攻击者借助这些工具可以很快的对目标网站进行攻击或者是破坏，危害大。3、危害极大由于web语言自身的缺陷，以及具有安全编程的开发人员较少，大多数web应用系统均具有被SQL注入攻击的可能，而攻击者一旦攻击成功，就可以对控制整个web应用系统对数据做任何的修改或者是窃取，破坏力达到了极致。