Question

sql注入漏洞如何修复

技术的意思是主机有防注入的功能，不能修复，但是百度一直提示，且有降权趋势

Answer 1

一、打开domain4.1，在旁注检测—”当前路径”中输入服务器的域名或IP地址。

二、点击“连接”，在“网页浏览”中显示打开的网页，并自动检测注入点，在“注入点：”中显示结果。

三、选择任何注射点，然后单击-“检测注射”。

四、对注射点进行注射检测，点击-'开始检测。

五、点击“猜测表名”，选择“管理员”，点击“猜测列名”，选择“密码”和“管理员”，点击“猜测内容”。密码是用MD5加密的，可以用在线密码破解。

六、在“管理门户扫描”中进行后台扫描，结果如下。

七、右击获取的地址，进入后台管理登录界面。

Answer 2

1、打开Domain4.1，在旁注检测—》“当前路径”输入服务器的域名或IP地址。

2、单击“连接”，在“网页浏览”中会显示所打开的网页，并且自动检测注入点，并将结果显示在“注入点：”中。

3、任意选择一个注入点，单击-》检测注入。

4、对注入点进行注入检测，单击-》开始检测。

5、单击“猜解表名”，选择admin，单击“猜解列名”，选择“password”和“admin”，单击“猜解内容”，密码是用MD5加密的，可用在线密码破解。

6、在“管理入口扫描”中进行后台扫描，结果如下。

7、右击得到的地址，进入后台管理登录界面。

Answer 3

网站sql注入漏洞修复，可以对比代码查看一些相关的参数值传入到数据库进行查询，读取，在数据库配置文件中可以对get,post,cookies提交的方式进行SQL注入参数的拦截，也可以找专业的网站安全公司来帮你修复SQL注入漏洞，国内SINE安全，深信服，绿盟，启明星辰，都是比较专业的安全公司。

Answer 4

SQL注入：利用现有应用程序，将(恶意)的SQL命令注入到后台数据库引擎执行的能力，这是SQL注入的标准释义。

Answer 5

我理解的SQL注入是这么一回事。比如你做一个登录的功能,你后台的SQL拼接 是
WHERE USER_NAME = 'XX' AND PASSWORD = 'XX'

如果用户想办法将 USER_NAME 的值穿过去是 ' OR 1=1 OR '' = 这个的话 （包括引号）
那么你的查询条件将失效 将会查出全部的用户。

这种注入 能防范的方法太多了。 比如查出来之后 你可以用PASSWORD和用户输入的PASSWORD对比一下 看是否一致 不一致 说明是入侵。