SQL インジェクションは通常、Web フォームから直接入力できます。 SQL インジェクションとは、Web アプリケーションがユーザー入力データの正当性を判断しない、または厳密にフィルタリングしないことを意味し、攻撃者は追加の SQL ステートメントを追加して不正な操作を実行する可能性があります。
#この記事の動作環境: Windows 10 システム、mysql 5.7、thinkpad t480 コンピューター。
SQL インジェクションとは、Web アプリケーションがユーザー入力データの正当性を判断しない、または厳密にフィルタリングしないことを意味し、攻撃者は Web アプリケーション内の事前定義されたクエリ ステートメントの末尾に追加の SQL ステートメントを追加することができます。 、データベースサーバーをだまして不正な任意のクエリを実行させ、それによって対応するデータ情報をさらに取得するために、管理者の知らないうちに不正な操作を実行すること。
特徴:
1. 汎用性
SQL 言語に基づいたデータベースは攻撃される可能性があります。多くの開発者は、Web アプリケーションを作成するときに入力パラメータを理解できません。Web フォーム、 Cookie などは規範的な検証と検出のための値を受け取るため、SQL インジェクションの脆弱性が通常発生します。
2. 隠蔽
SQL インジェクション ステートメントは通常、通常の HTTP リクエストに埋め込まれており、通常のステートメントと区別することが難しいため、現在のファイアウォールの多くは認識して警告することができず、SQL インジェクション ステートメントは多数存在します。攻撃者は攻撃パラメータを調整できるため、従来の方法を使用して SQL インジェクションを防御するのは非常に不十分です。
3. 大きな被害
攻撃者はSQLインジェクションを通じてサーバーのライブラリ名、テーブル名、フィールド名を取得し、サーバー全体のデータを取得し、データセキュリティに有害です。ウェブサイト ユーザーの割合は非常に大きく、大きな脅威です。攻撃者は、取得したデータからバックエンド管理者のパスワードを取得し、Web ページを悪意を持って改ざんする可能性もあります。これはデータベース情報セキュリティに深刻な脅威をもたらすだけでなく、データベース システム全体のセキュリティにも重大な影響を及ぼします。
4. 操作が簡単 インターネット上には SQL インジェクション ツールが多数あり、習得が簡単で、攻撃プロセスが単純で、専門知識がなくても自由に使用できます。
関連する推奨事項:
mysql チュートリアル
以上がWeb フォームから SQL インジェクションを直接入力できますか?の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。
