2025年06月23日
SQL 注入（SQL Injection） 是一种很老的但是常见的Web安全漏洞，攻击者通过构造恶意的SQL语句，篡改应用程序的数据库查询逻辑，从而窃取、修改或删除数据库中的数据，甚至获取服务器控制权限。
我们过去发现和使用SQL Injection漏洞时，都是用扫描器扫描、SqlMap等工具进行注射，如果工具没有发现或是无法利用，我们就需要手工了。
2025年了，我们用AI完成这些工作替代手工。我们需要用到一个工具，T00LS论坛里的作者MrE404bug写的AiSqlInjection；再就是DeepSeek的API了。
2025年06月23日
从客观角度来看，SQL 注入是因为前端输入控制不严格造成的漏洞，使得攻击者可以输入对后端数据库有危害的字符串或符号，使得后端数据库产生回显或执行命令，从而实现对于数据库或系统的入侵；从攻击者角度来看，需要拼接出可以使后端识别并响应的 SQL 命令，从而实现攻击
2025年06月23日
jSQL是一款使用java开发的Web渗透测试工具，在Kali Linux自带，无需自己安装，开箱即用！它主要用于发现远程数据库的漏洞信息。
jSQL是免费开源的，还支持跨平台，支持Windows, Linux, Mac OS等。一开始该工具主要实施SQL注入，后来增加管理页面暴力扫描、敏感文件猜测、Web shell等功能，形成一个综合性的Web渗透测试工具。
2025年06月23日
IT之家 5 月 5 日消息，PHP 开源项目 ADOdb 于上周发布了 v5.22.9 版本，该版本主要修复一项 CVSS 风险评分高达 10 分（满分）的严重安全漏洞 CVE-2025-46337，官方透露该漏洞“可能影响全球 280 万个已安装 ADOdb 的环境”。
据介绍，ADOdb 是一个广受欢迎的 PHP 数据库抽象层组件，它提供统一的 API 接口，使开发者可以使用相同的语法访问不同类型的数据库，支持 MySQL、PostgreSQL、SQLite、Oracle、Microsoft SQL Server、IBM DB2 和 Sybase 等多种数据库。
2025年06月23日
原理
指web应用程序对用户输入的数据合法性没有判断，导致攻击者可以构造不同的sql语句来对数据库数据库的操作。（web应用程序对用户输入的数据没有进行过滤，或者过滤不严，就把sql语句带进数据库中进行查询）。
Sql注入漏洞的产生需要满足两个条件：
①参数用户可控：前端传给后端的参数内容是用户可以控制的。
2025年06月23日
SQL注入是发生在web端的安全漏洞，实现非法操作，欺骗服务器执行非法查询，他的危害有会恶意获取，甚至篡改数据库信息，绕过登录验证，原理是针对程序员编写时的疏忽，通过执行SQL语句，实现目的性攻击，他的流程可以分为判断注入类型，判断字段数，判断显示位，获取数据库中的信息
2025年06月23日
对于sql注入漏洞的防御方法，核心思想是转义。让输入的内容不会成为sql语句的语法的一部分，也就是说让输入的内容仅仅是sql语句的数据部分。这样的对抗方法有很多种，比如是宽字节注入[1]，二次注入等。
2025年06月23日
信息安全之SQL注入攻击原理
SQL 注入（SQL Injection）是一种常见的网络攻击手段，攻击者通过在输入字段或请求中注入恶意的 SQL 语句，操控数据库执行意图之外的操作。