据我所知，sql注入定义是：
SQL注入是黑客使用的一种应用层攻击技术，通过针对基于web的应用程序从组织中窃取数据。
如果表单提交可以保存SQL语句，那么是否应该将其视为SQL注入，直到无法操作任何数据为止？
假设我有一个具有textarea输入的联系人表单。有人认为：
SELECT * FROM users
我的应用程序允许保存这些数据。这是否被视为SQL注入？
浏览 1提问于2018-04-08得票数 0
回答已采纳
1回答
我读过关于ORM注入和SQL注入的文章。在许多网站上，从测试人员的角度来看，ORM注入与SQL注入几乎是一样的。所以基本上我想知道的是ORM和SQL注入之间的主要区别。
如果还解释一下ORM的简要概念，这将是有帮助的。
浏览 2提问于2014-09-12得票数 1
1回答
我想知道如何才能使您自己的站点在Sql注入类型的攻击下完全安全。我读到在htaccess文件中启用魔术引号gpc就足够了。这足够了吗？还有别的把戏吗？如何了解脚本是否对Sql注入开放？例如，此代码段与攻击sql注入？
$sql = $_REQUEST['id'];
$sql = mysql_real_escape_string($sql);
$Query = "DELETE FROM Y WHERE id = ".$sql;
例如，像facebook或google这样的大型网站如何防止这种类型的攻击？对不起，我的英语...
另外，我不能用面向对象
浏览 0提问于2013-06-08得票数 0
1回答
我正在使用codeigniter philsturgeon库来开发Web服务。那么，如何防止来自SQL服务的SQL注入呢？在codeigniter中有没有库可以防止来自restful SQL服务的SQL注入？
提前谢谢。
浏览 0提问于2012-05-02得票数 1
我知道statements攻击可以通过向应用程序注入SQL语句来获取未经授权获取或未经授权以未经授权的方式修改数据的信息来完成，如本链接https://www.w3schools.com/sql/sql_injection.asp中所提到的。
但是，假设有人在数据库服务器内安装恶意软件，该服务器修改或检索数据，这是否算作SQL注入攻击？
浏览 0提问于2023-01-12得票数 6
2回答
我知道SQL注入可以通过
mysql_real_escape_string();
但是，如何消毒盲SQL注入，以及它与普通sql注入有何不同。
浏览 0提问于2016-09-18得票数 0
我读过这里，使用ORM (如nHibernate)并不一定会阻止SQL注入；例如，如果您继续使用ORM框架创建动态查询，则仍然容易受到攻击。
好吧，那么如何正确地使用ORM来避免所有类型的SQL注入呢？我们应该使用ORM框架使用参数化查询吗？像nHibernate这样的代码会转义特殊的SQL字符，比如单引号，这样开发人员就不会编写如下代码：
private string SafeSqlLiteral(string inputSQL) { return inputSQL.Replace("'", "''"); }
浏览 0提问于2015-01-27得票数 -1
开始使用.NET的，它工作得很好。我唯一想知道的是在使用SQL Reader时SQL注入的可能性。
在配置设置中使用查询是否安全？SQL Reader插件会负责清理和消除SQL注入吗？
浏览 1提问于2015-02-12得票数 1
你好，我正在用node.js和mysql开发服务器。当我阅读一些关于mysql库的文档时，我发现打开多语句选项会增加SQL注入攻击的范围。
我知道如果我使用带有'?‘的SQL语法将会避开SQL语法。所以我想如果我用？在使用多个查询的情况下，无法进行SQL注入攻击。是对的吗？
例如,
let sql = "UPDATE auth_user SET last_login=now() WHERE username=?; SELECT id, nickname FROM auth_user WHERE username = ? LIMIT 1"; let params = [u
浏览 5提问于2018-05-11得票数 2
我们使用benchmark()函数不断地获得sql注入，并对servers.the sql注入语句造成了沉重的负载。
benchmark()类似于MySQL函数，这些函数可能在SQL注入中使用？
浏览 2提问于2014-05-06得票数 0
3回答
我有一个jsp代码，它的查询如下
'select * from MyTable where
Column1='+request.getParameter('q'),
，它是从
java.sql.Statement。现在，假设我们可以通过使用
请求参数，我的目标是将查询更改为如下所示：
Select * from MyTable where Column1 = a; Delete from MyTable;
由于原始select查询是通过java.sql.Statement执行的，
我们如何做这样的sql注入呢？如果问题不清楚，请
评论，我将尝试提供进一步的解释
浏览 1提问于2012-08-17得票数 0
我使用下面的命令尝试使用sqlmap进行SQL注入：
sqlmap -u http://localhost/abc.php?id=1 -D datab --sql-shell
以下查询在shell中运行良好：
SELECT * FROM admin
但是，当我尝试删除该表或尝试使用DROP TABLE admin之类的SQL查询或INSERT * INTO admin之类的查询插入表时，将返回以下错误消息：
[WARNING] execution of custom SQL queries is only available when stacked queries are supported
浏览 0提问于2015-09-16得票数 2
1回答
在Expressjs项目中，我使用连接到Microsoft，并试图执行存储过程。根据mssql的文档，将处理我认为不会发生的所有SQL注入。
有人能帮我如何处理这个节点模块中的SQL注入吗？
var sql = require('mssql');
var dbConfig = {};
var Connection = new sql.Connection(dbConfig);
Connection.connect().then(function(_connection){
var request = new sql.Request(_connection);
浏览 3提问于2016-10-12得票数 2
回答已采纳
我尝试使用Hack Bar在网站上执行SQL注入。服务器没有响应SQL错误。
我还尝试使用sqlmap：
sqlmap -u http://website/login.php?op=login --dbs
sqlmap -u http://website/login.php?id=1 --dbs
[10:06:33] [CRITICAL] all tested parameters appear to be not injectable.
所以我的问题是:即使web服务器没有显示任何错误，也可以得到SQL注入吗？
浏览 0提问于2016-11-02得票数 2
回答已采纳
1回答
我正在使用PHP在数据库中提交数据，但我希望设置更安全的代码，以便使用SQL注入，但我的一位朋友在10分钟内破解了我的数据。还有其他强SQL注入来保护数据吗？
我试过了
// Create connection
$conn = new mysqli($servername, $username, $password, $dbname);
$email=$conn->real_escape_string(trim($_POST['email']));
$subject=$conn->real_escape_string(trim($_POST['su
浏览 3提问于2017-08-26得票数 0
在中，有人提到PetaPoco的SQL (Sql )不受SQL注入的影响。但是Query(string，parameters)方法是否可以防止SQL注入？
SQL Builder是安全的：
var id = 123;
var a = db.Query<article>(PetaPoco.Sql.Builder
.Append("SELECT * FROM articles")
.Append("WHERE article_id=@0", id)
);
但是，在这样传递参数的字符串查询中，安全吗？
var id = 123;
var a = d
浏览 1提问于2017-07-04得票数 4
回答已采纳
4回答
注入的定义
SQL注入是一种代码注入技术，用于攻击数据驱动的应用程序，其中恶意SQL语句被插入入口字段以执行(例如将数据库内容转储给攻击者)。
SQL注入如何影响AndroidO.S
安卓应用程序中使用的SQLite是功能齐全的数据库，因此就像Server或MySQL框一样，它们也容易受到SQL注入的影响。SQL注入通常通过将数据添加到查询字符串或在表单字段中添加数据来工作；允许黑客访问数据库或未经授权的登录。SQL注入通常用于攻击Web视图或web服务，但也可用于攻击活动。
SQL注入漏洞的根本原因是使用动态或连接SQL查询。如果SQL查询是通过连接用户提供的输入来构造的，则用户可以提供S
浏览 2提问于2015-05-22得票数 5
2回答
我正在对站点上的所有sql语句进行重新编码，以使用PDO和准备好的语句。我已经尽了最大努力了解SQL注入的工作原理，所以我有一个问题。
如果我有一个页面，比如viewitems.php，该页面将查询数据库，从一个表中拉入所有数据，并在页面上显示所有数据。由于用户没有任何输入，这能被注入吗？我知道可以注入使用带有标题变量的数据向下钻取的页面，因为用户可以干扰标题，但是如果SQL被编码到页面中，而不需要任何外部变量，它可以被注入吗？
浏览 0提问于2013-02-24得票数 0
回答已采纳
我正在注射：
-35' and updatexml(null,concat(0x3a,(0x0a,(select database()))),null)-- -
我收到了：
Error 1 - Operand should contain 1 column(s)
知道怎么解决这个问题吗？我正在尝试获取数据库类型。
参考文献：
http://www.securityidiots.com/Web-Pentest/SQL-Injection/Error-Based-Injection-Subquery-Injection.html
http://securityidiots.com/Web-
浏览 0提问于2022-05-22得票数 1
在我们的代码库中，我们使用Hibernate，并使用它的Restrictions.sql()方法，使用MS的全文搜索。sqlRestriction使用包含(column_name，search_text)谓词构建，其中search_text是用户输入的文本。
Restrictions.sqlRestriction(包含(“+ column_name + "，？)，”\“+ userInput +”*\“，StandardBasicTypes.STRING)
这个包含()方法易受SQL注入的影响吗？
浏览 4提问于2021-10-17得票数 0
1回答
我有以下代码，这些代码是由我的web项目中的其他人编写的：
StringBuilder sql = new StringBuilder("");
// Define sql
sql.Append("SELECT title ");
sql.Append("FROM MyTable ");
sql.Append(string.Format("WHERE id = {0} AND Var = '{1}'", myId, myVar));
DataTable dtGro
浏览 2提问于2012-12-01得票数 0
4回答
本地IMS是否容易接受注射？
、、、、
如所示，DB2可能容易受到SQL注入的影响：
* Potential SQL injection if X, Y or Z host variables come from untrusted input
STRING "INSERT INTO TBL (a,b,c) VALUES (" X "," Y "," Z ")" INTO MY-SQL.
EXEC SQL PREPARE STMT FROM :MY-SQL END-EXEC.
EXEC SQL EXECUTE STMT END-EXEC.
我的问题是，本地IMS命令是
浏览 12提问于2020-06-11得票数 2
回答已采纳
我需要根据特定的条件动态地更改表名。
以下列方式构建sql查询是安全的，还是我容易使用SQL注入？
string GenerateSQL(string tableName) {
return $"SELECT * FROM {tableName};";
}
const string tableName1 = "MyTable1";
const string tableName2 = "MyTable2";
string sql;
if (condition1) {
sql = GenerateSQL(tableName1);
浏览 1提问于2022-01-31得票数 1
回答已采纳
下面是以下伪代码：
public updated(int id) {
// Note that variable **id** is not surrounded by single/double quotes.
sql = "Update table user set status=2 where user_id=**id** ";
// execute command
}
这是否容易受到SQL注入(可能是算术SQL注入)的攻击？
浏览 0提问于2016-11-11得票数 8
我使用以下代码(使用sqlite3的python)将数据添加到表中： ''' INSERT INTO TABLE (USERNAME) VALUES ("''' + data + '''")''' If I block "，那么(据我所知)退出字符串应该是不可能的，随后就不可能进行SQL注入。 我的问题是:这会阻止用户注入SQL吗？如果没有，我应该添加更多的黑名单还是创建白名单？ 非常感谢所有的帮助。
浏览 17提问于2019-01-25得票数 0
我试图向自己解释为什么XXE不属于注入类别，因为它是XML注入的一种形式。
XML外部实体是一种操纵XML解析器/解释器以实现某些数据(即文件系统中的文件)信息泄露的攻击。
SQL注入是一种操纵SQL解释以实现广泛目标的攻击，其中之一可能是某些数据的信息泄露。
一些组织甚至称XXE为注入攻击，并且OWASP确实在A1下列出了organizations。虽然我认为XXE在技术上并不是向解释器中注入任何命令，但这两个类别的数据流本质上是相同的：
📷
这些威胁本质上是相同的--信息泄露和拒绝服务，尽管很明显，通过SQL注入，您可以做得更多。
那么，你认为这一分歧的主要原因是什么？是否只是为了提高人们
浏览 0提问于2018-05-12得票数 2
回答已采纳
我想知道是否有可能将sql查询注入过程参数。我有特殊情况：
ALTER PROCEDURE [Test].[Injection]
@Query varchar(250) = null
AS
SET NOCOUNT ON
SET @Query = REPLACE(@Query,'','') COLLATE Latin1_General_CI_AI
... more sql code
SELECT * FROM Customers
WHERE (@Query IS NULL OR (Name COLLATE Latin1_General_CI_AI like &
浏览 0提问于2018-08-02得票数 0
回答已采纳
我的团队正在测试一些我们已经放弃SQL作为后端的产品。这意味着我们已经停止了围绕SQL注入的任何安全测试。我一直在怀疑，虽然SQL注入是不可能的，但是针对这些其他技术的其他类似的注入攻击是可能的，但我自己并没有太多的时间来研究这些技术。我们专门使用的两个非SQL解决方案是HBase(在Hadoop之上)和Cassandra。
是否有人对如何测试这些攻击有什么好的想法，或者有没有发现和测试这些潜在攻击的好的阅读、示例或方法？或者，任何能让我安心的阅读或解释，让我相信这些攻击是不可能的？我搜索了一下，没有找到任何关于这个问题的有用信息。
浏览 0提问于2012-12-14得票数 5
回答已采纳
在SQL注入中哪一个是安全的: NamedParameterJdbcTemplate还是SimpleJdbcTemplate？
例如,
String sql = "insert into db_table (associateid,comment) values(:associateId,:comments)";
Map<String, Object> paramMap = new HashMap<String, Object>();
paramMap.put("associateId", "12345");
paramM
浏览 1提问于2016-08-11得票数 4
我已经对此做了一些研究，但到目前为止已经空白了。情况就是这样。
我正在开发一个MS前端，它链接到Server后端。
在一定程度上，我在访问SQL DB时使用了链接的表/表单--这样，当用户更新表单中的值时，Access (没有代码)会自动更新SQL DB中的值。
所以我的问题是-这在任何方面都容易受到SQL注入的影响吗？或者以这样的方式访问“参数化”更新，即任何可能的SQL注入代码都将简单地添加到“原样”的DB中，而不是在服务器上被解析，并可能运行一些恶意代码。
谢谢你在这方面的任何指点！
浏览 7提问于2017-06-07得票数 0
回答已采纳
我知道spring和hibernate受到SQL注入的保护。
但是我如何知道我的应用程序在SQL注入攻击中是安全的呢？
任何ORM工具如何处理SQL注入
提前谢谢..。
浏览 1提问于2016-10-14得票数 1
回答已采纳
2回答
在尝试提出这个问题时，我得到了 --它使用的是Java，在回答中给出了一个Ruby示例，并且似乎只有在使用Json时才会进行注入？因为我有一个公开，我将尝试比较NoSQL和SQL，我试着说:快乐，nosql没有sql注入，因为它不是sql .
请你解释一下：
在使用Python驱动程序(pymongo)时，sql注入是如何发生的。
如何避免。
使用使用登录表单中的注释的旧方式sql注入的比较。
浏览 0提问于2012-10-27得票数 4
回答已采纳
1回答
我的理解是，参数化查询和存储过程都有助于防止sql注入。
参数化查询是否使注入sql变得不可能？
使用非常糟糕的存储过程的参数化查询是否使注入sql变得不可能？
有没有上述两种情况的例子？谢谢
浏览 1提问于2013-08-06得票数 0
我的项目是使用cakephp1.3开发的，为了测试，我使用了 (火狐)。
在中，我所理解的是，save()和find()方法将自动保护数据不受SQL注入的影响。但是在运行"SQL inject me“测试时，我总是失败。
对于示例:结果:服务器状态代码: 302找到测试值: 1‘和1=(从表名中选择计数(*))；--服务器状态代码: 302找到测试值：'；描述用户；--服务器状态代码: 302找到测试值: 1'1
我尝试了cakephp santize方法，然后我也得到了"sql注入我“的错误。
有什么帮助吗？
示例代码
$this->data['
浏览 0提问于2010-12-09得票数 5
回答已采纳
2回答
我正在一个网站上测试SQL注入。
基本上，我在下面的url中尝试它：
http://example.org/webpage/*
在哪里，应该注入有效载荷来代替*。当我尝试放入这个：' OR 1=1/*时，url将是：http://example.org/webpage/'%20OR%201=1/*- -这是输出：
You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use nea
浏览 0提问于2017-07-13得票数 1
我快把头发都扯出来了！！
即使是像这样简单的东西也能工作：
procedure MyAdoQueryTest();
const MYSQL_CONNECT_STRING='Driver={MySQL ODBC 5.1 Driver};Server=%s;Port=3306;Database=%s;User=%s;Password=%s;Option=3;';
var AdoConnection : TADOConnection;
ADOQuery : TADOQuery;
Param : TParameter;
be
浏览 2提问于2011-06-05得票数 2
回答已采纳
我读过为了防止SQL注入，必须使用PreparedStatement。
这是否意味着，如果我使用的是perparedStatement，那么没有人可以在我的任何页面中执行SQL注入？它对SQL注入是否万无一失？如果没有，请举出一些例子来说明这一点。
浏览 2提问于2010-09-20得票数 10
回答已采纳
我想知道是否可以在一个或调用中通过Perl 使用执行多个SQL语句。示例：
# Multiple SQL statements in a single query, separated by a ";"
$sql = 'UPDATE foo SET bar = 123; DELETE FROM foo WHERE baz = 456';
$sth = $dbh->prepare($sql);
$sth->execute;
# ...or...
$dbh->do($sql);
我这么问并不是因为我真的想做这样的事情，而是因为我想通过成功的S
浏览 3提问于2009-06-03得票数 2
回答已采纳
在数据库/sql包中，我可以通过两种方式执行查询：
第一种方法:使用Sql.Stmt
变量DeletePermissionStmt *sql.Stmt DeletePermissionStmt，err = database.Prepare(DELETE FROM permission WHERE permission\_id=$1)如果err != nil {log.Errorf(“无法准备删除权限语句：%s"，err.Error()}事务，err := database.Begin() //假设以前定义了postgres数据库，前提是err != nil {log.WithFie
浏览 3提问于2016-09-19得票数 0
回答已采纳
5回答
我正试图在Laravel创建restAPI。如何从SQL注入中保护这样的sql查询？
Route::get('api/restaurant/id/{id}', 'RestaurantController@getRestaurantById');
public function getRestaurantById($id) {
$restaurant = Restaurant::where('id', $id)->first();
return $restaurant;
}
浏览 8提问于2020-02-21得票数 4
回答已采纳
我试图编译几个MySQL语句，并在同一个请求中执行它们，但我一直收到MySQL语法错误：
local.sql = "";
for (local.i in this.hitArray)
{
local.sql &= "UPDATE posts SET viewCount = posts.viewCount + 1 WHERE posts.id = #local.i.postId#;";
}
local.service.setSQL(local.sql);
原始SQL转储(local.sql var)：
UPDATE posts SET viewCo
浏览 0提问于2011-08-09得票数 2
回答已采纳
5回答
如何使此查询具有sql注入验证功能？
$sql=mysql_query("SELECT * FROM updates ORDER BY item_id DESC LIMIT 16");
while($row=mysql_fetch_array($sql))
{
$msg_id=$row['item_id'];
$message=$row['item_content'];
}
或者有人可以给我展示一些例子，或者给我发送一个教程的链接，我对此非常陌生，如果有人能帮助我，那就太好了！:)
浏览 2提问于2011-03-30得票数 2
回答已采纳
我知道如果我使用linq to sql，一切都将是参数化的，并且sql注入是安全的。但是IQueryable呢？
例如，我可以将某个实体转换为Iqueryable：
var myquery = mytesttable.AsQueryable();
var qText = "name="+ "\""+DynamicSearchCondition+ "\"";
myquery = myquery.Where(qText);
然后，当查询运行时，我可以从跟踪中看到传入的DynamicSearchCondition没有参数化。
最初我认为
浏览 1提问于2015-10-01得票数 7
据我所知，当PHP应用程序需要用户在网页表单上输入内容以发送到$POST、$GET或$REQUEST等变量时，它们很容易发生SQL注入。这是否意味着如果我的应用程序/htmlpage没有用户输入表单，它就完全没有SQL注入？
浏览 0提问于2013-04-17得票数 0
回答已采纳
2回答
不久前，我在Stackoverflow上读到了一个公认的答案，它声称select("sql query")可以从SQL注入中解脱出来，而select(raw("sql query"))却没有。
$request; // Illuminate\Http\Request
DB::connection('default')->select("
SELECT *
FROM `some_table`
WHERE `some_col` = '$request->some_val'
");
浏览 5提问于2020-01-09得票数 0
回答已采纳
我计划通过使用$variable来阻止SQL注入，并将其路由到一个函数，该函数将扫描$variable中的任何sql命令或任何注入尝试。我还将列出人们会使用inject的常用sql命令，以便将其检测出来。
注:我之前问过一个类似的问题，但这次我有了一个我设法思考的理论;)
浏览 3提问于2011-10-30得票数 1
回答已采纳
我在类中将SQL查询定义为静态字符串：
private static final String SQL_QUERY = "...sql query...";
我正在使用没有hibernate的数据库。所以，如果我在同一堂课上有这样的东西：
connection = connectionPool.getConnection();
preparedStatement = connection.prepareStatement(SELECT_NEXT_ID);
resultSet = preparedStatement.executeQuery();
然后IDEA正确地将我的SQL_
浏览 1提问于2018-05-07得票数 1
回答已采纳
6回答
此LINQ语句易受SQL注入的攻击吗？
var result = from b in context.tests
where b.id == inputTextBox.Text
select b;
其中context是一个实体，test是一个表。我正在尝试学习LINQ，我认为它的好处是它不容易受到sql注入的攻击，但我看到的一些东西却有不同的说法。我需要参数化这个LINQ语句以使它更安全吗？如果是这样的话，是怎么做的？
这也会被认为是linq to sql或linq to entities吗？
浏览 3提问于2010-09-30得票数 9
回答已采纳
我使用的是SQL服务器，需要通过Python脚本运行以下SQL
SELECT DISTINCT LEN(Wav)-CHARINDEX('.', Wav) FROM <>;
我试着玩这个字符串，但是我想不出如何绕过这个圆点字符。
sql = 'SELECT DISTINCT LEN(Wav)-CHARINDEX({}, Wav) FROM xxx'.format('.')
print(sql)
cursor = conn.cursor()
cursor.execute(sql)
知道怎么解决这个问题吗？
谢谢
浏览 3提问于2021-02-24得票数 1
回答已采纳
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
腾讯云开发者
