1. 啥是sql注入
sql注入是一种通过操作输入来修改后台sql语句以达到利用代码进行攻击目的的技术2025年06月23日
SQL注入是较为普遍的互联网攻击方法，它并不是通过电脑操作系统的BUG来完成攻击，而是对于程序编写时的疏漏，利用SQL语句，达到无帐号登录，乃至改动数据库的目的。
2025年06月23日
在owasp年度top 10 安全问题中，注入高居榜首。SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序， 而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，其主要原因是程序没有细致地 过滤用户输入的数据，致使非法数据侵入系统。
1. 对于Web应用程序而言，用户核心数据存储在数据库中，例如MySQL、SQL Server、Oracle；
2. 通过SQL注入攻击，可以获取、修改、删除数据库信息，并且通过提权来控制Web服务器等其他操作；
2025年06月23日
首先的话，我们来仔细搞清楚这个攻击的流程，第一步就是了解一下，什么是sql？又什么是sql注入、sql注入的流程和步骤。
1、首先什么是sql，
Sql是一种数据库查询和程序设计的语言，这里的数据库是指存放网站的一些信息数据，常见的数据库有：mysql、access、mssql(sql server)、oracle数据库等等，这些数据库被大多数的中小型企业使用，专门存放用户的一些网站信息和数据信息，通过一些sql语言中一些的命令去增加、删除、改写、查询这些数据。这个就是sql。
2025年06月23日
1，定义：在构建数据库 SQL 语句时，攻击者在参数请求中注入恶意的 SQL 代码，并在在数据库中执行，操控数据库执行意图之外的操作。
2，目的：窃取数据、修改数据、删除数据、绕过身份验证、权限提升，执行系统命令等。
2025年06月23日
1.SQL注入
原理:
1).SQL命令可查询、插入、更新、删除等，命令的串接。而以分号字元为不同命 令的区别。（原本的作用是用于SubQuery或作为查询、插入、更新、删除……等 的条件式）
2).SQL命令对于传入的字符串参数是用单引号字元所包起来。（但连续2个单引 号字元，在SQL资料库中，则视为字串中的一个单引号字元）
3).SQL命令中，可以注入注解
2025年06月23日
京东SRC(Security Response Center)收录大量外部白帽子提交的sql注入漏洞，漏洞发生的原因多为sql语句拼接和Mybatis使用不当导致。