SQL注入攻擊的應用程序可能會執(zhí)行各種輸入過濾以防止攻擊者無限制地利用其中存在的缺陷。
深圳做網(wǎng)站公司應用程序可能會刪除或凈化某些字符,或阻止常用的SQL關鍵字。這種過濾通常非常容易避開,如果
成都建站公司應用程序受到SQL注入攻擊時可嘗試以下幾種技巧避開過濾。
1.避免使用簡單的確認
一個簡單的黑名單是一些輸入確認機制使用,阻止或刪除任何出現(xiàn)在這個名單的數(shù)據(jù)。尋找確認和規(guī)范化機制中的缺陷是者這種情況下嘗試使用標準的攻擊方法。比如,如果SELECT關鍵字被阻止或刪除等,可嘗試使用。
2.利用有缺陷的過濾
輸入確認機制通常包含邏輯缺陷,可對這些缺陷加以利用,使被阻止的輸入避開過濾。這種情況一般未能以遞歸方式應用程序凈化邏輯方面的缺陷,利用應用下橫線在對多個確認步驟進行排序。
3.避免使用被阻止的字符
如果注釋符號被阻止,通??梢栽O計注入的數(shù)據(jù),使其不會破壞周圍查詢的語法;MS-SQL數(shù)據(jù)庫中注入批量查詢時,不必使用分隔符。只要糾正所有批量查詢的語法,無論你是否使用分號,查詢解析器都會正確解釋它們;如果要注入數(shù)字數(shù)據(jù)字典或列名稱,不一定必須使用單引號,通過各種字符串函數(shù),使用每個字符的ASCⅡ代碼動態(tài)構建一個字符串。
4.使用SQL注釋
與C++一樣,可以再SQL語句中插入行內注釋,注釋內容包含在/*與*/符號之間。在MySQL中,注釋甚至可以插入關鍵字中,這種方法可避開某些輸入確認過濾,同時暴力查詢中的語法。如果硬要程序阻止或刪除輸入中的空格,可以使用注釋“冒充”注入數(shù)據(jù)中的空白符。
網(wǎng)頁標題:深圳做網(wǎng)站公司談應用程序受到SQL注入攻擊時可嘗試過濾的各種技巧
鏈接URL:http://redsoil1982.com.cn/news/159015.html
網(wǎng)站建設、網(wǎng)絡推廣公司-創(chuàng)新互聯(lián),是專注品牌與效果的網(wǎng)站制作,網(wǎng)絡營銷seo公司;服務項目有做網(wǎng)站等
廣告
聲明:本網(wǎng)站發(fā)布的內容(圖片、視頻和文字)以用戶投稿、用戶轉載內容為主,如果涉及侵權請盡快告知,我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場,如需處理請聯(lián)系客服。電話:028-86922220;郵箱:631063699@qq.com。內容未經(jīng)允許不得轉載,或轉載時需注明來源:
創(chuàng)新互聯(lián)