① sql注入在網站安全中佔多大的比重，學SQL注入可以作為網站安全人員嗎
sql注入是很常見，也比較低級的漏洞，現在的開發人員基本都能避開sql注入的問題，都會去檢測敏感關鍵字，使用sql變數，現在的網站已經很少存在sql注入了。
網站攻擊有很多種，例如sql注入、xss跨站、暴力破解，針對web容器的攻擊，針對server系統的攻擊等，還有一些比較流氓的DDoS攻擊，所以sql注入在網站安全中只是最基礎的冰山一角，只學會這個是不夠的
② 製作網站時,SQL注入是什麼怎麼注入法
SQL注入是:
許多網站程序在編寫時，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。用戶可以提交一段資料庫查詢代碼(一般是在瀏覽器地址欄進行,通過正常的www埠訪問)，根據程序返回的結果，獲得某些想得知的數據，這就是所謂的SQL Injection，即SQL注入。
網站的惡夢——SQL注入
SQL注入通過網頁對網站資料庫進行修改。它能夠直接在資料庫中添加具有管理員許可權的用戶，從而最終獲得系統管理員許可權。黑客可以利用獲得的管理員許可權任意獲得網站上的文件或者在網頁上加掛木馬和各種惡意程序，對網站和訪問該網站的網友都帶來巨大危害。
防禦SQL注入有妙法
第一步：很多新手從網上下載SQL通用防注入系統的程序，在需要防範注入的頁面頭部用 來防止別人進行手動注入測試。可是如果通過SQL注入分析器就可輕松跳過防注入系統並自動分析其注入點。然後只需要幾分鍾，你的管理員賬號及密碼就會被分析出來。
第二步：對於注入分析器的防範，筆者通過實驗，發現了一種簡單有效的防範方法。首先我們要知道SQL注入分析器是如何工作的。在操作過程中，發現軟體並不是沖著「admin」管理員賬號去的，而是沖著許可權(如flag=1)去的。這樣一來，無論你的管理員賬號怎麼變都無法逃過檢測。
第三步：既然無法逃過檢測，那我們就做兩個賬號，一個是普通的管理員賬號，一個是防止注入的賬號，為什麼這么說呢?筆者想，如果找一個許可權最大的賬號製造假象，吸引軟體的檢測，而這個賬號里的內容是大於千字以上的中文字元，就會迫使軟體對這個賬號進行分析的時候進入全負荷狀態甚至資源耗盡而死機。下面我們就來修改資料庫吧。
1.對表結構進行修改。將管理員的賬號欄位的數據類型進行修改，文本型改成最大欄位255(其實也夠了，如果還想做得再大點，可以選擇備注型)，密碼的欄位也進行相同設置。
2.對表進行修改。設置管理員許可權的賬號放在ID1，並輸入大量中文字元(最好大於100個字)。
3.把真正的管理員密碼放在ID2後的任何一個位置(如放在ID549上)。
我們通過上面的三步完成了對資料庫的修改。
這時是不是修改結束了呢?其實不然，要明白你做的ID1賬號其實也是真正有許可權的賬號，現在計算機處理速度那麼快，要是遇上個一定要將它算出來的軟體，這也是不安全的。我想這時大多數人已經想到了辦法，對，只要在管理員登錄的頁面文件中寫入字元限制就行了!就算對方使用這個有上千字元的賬號密碼也會被擋住的，而真正的密碼則可以不受限制。
③ web頁面怎樣做sql注入測試
直接在地址欄輸入表達式進行測試.
示例：www.xx。net?id=1'or'1'='1
④ 計算機裡面sql注入作用是什麼
你好，很高興為你解答：
SQL是操作 資料庫 數據的結構化查詢語言，網頁的應用數據和後台資料庫中的數據進行交互時會採用SQL。 而SQL注入是將Web頁面的原 URL 、表單域或數據包輸入的參數，修改拼接成SQL語句，傳遞給Web伺服器，進而傳給 資料庫伺服器 以執行資料庫命令。
SQL注入即是指web應用程序對用戶輸入數據的合法性沒有判斷或過濾不嚴，攻擊者可以在web應用程序中事先定義好的查詢語句的結尾上添加額外的SQL語句，在管理員不知情的情況下實現非法操作，以此來實現欺騙資料庫伺服器執行非授權的任意查詢，從而進一步得到相應的數據信息。
⑤ 【web安全】sql注入的利用方式有哪些
所謂SQL注入式攻擊，就是攻擊者把SQL命令插入到Web表單的輸入域或頁面請求的查詢字元串，欺騙伺服器執行惡意的SQL命令。在某些表單中，用戶輸入的內容直接用來構造（或者影響）動態SQL命令，或作為存儲過程的輸入參數，這類表單特別容易受到SQL注入式攻擊。常見的SQL注入式攻擊過程類如：
⑴ 某個ASP.NET Web應用有一個登錄頁面，這個登錄頁面控制著用戶是否有權訪問應用，它要求用戶輸入一個名稱和密碼。
⑵ 登錄頁面中輸入的內容將直接用來構造動態的SQL命令，或者直接用作存儲過程的參數。
⑥ 怎樣對sql注入滲透測試使web站點可以通過任意用戶名登錄
如果是你自己的 web站點，規則由你定，你就可以通過任意用戶名登錄，如果是別人的web站點，要想通過任意用戶名登錄，這就是黑客的工作了
⑦ 如何進行sql注入
你，這是黑客的東西啊。不過只對安全性很差的系統有用。
比如你有一個SQL是這樣的：SELECT fieldlist FROM table WHERE field = '$EMAIL';
你的原意是讓用戶輸入$EMAIL的值，根據email地址查詢，比如[email protected]，那麼SQL就是
SELECT fieldlist FROM table WHERE field = '[email protected]';
但是我輸入anything' OR 'x'='x作為email地址，SQL就變成
SELECT fieldlist FROM table WHERE field = 'anything' OR 'x'='x';了
這個SQL是怎麼都會通過的。返回的值是你的表裡面的所有內容。這樣就達到黑客目的了。不過這東西是比較容易被防止的。
⑧ 【web安全】怎麼進行sql注入
1.POST注入，通用防注入一般限制get，但是有時候不限制post或者限制的很少，這時候你就可以試下post注入，比如登錄框、搜索框、投票框這類的。另外，在asp中post已被發揚光大，程序員喜歡用receive來接受數據，這就造成了很多時候get傳遞的參數通過post/cookie也能傳遞，這時如果恰好防注入程序只限制了get，因此post注入不解釋
2.cookie注入，原理同post注入，繞過相當多通用防注入
3.二次注入，第一次注入的數據可能不會有效，但是如果將來能在某個頁面裡面被程序處理呢?注入來了……
4.csrf，適合後台地址已知並且存在已知0day，可以試試用csrf劫持管理員來進行操作（這招其實不屬於sql注入了）
5.打碎關鍵字，比如過濾select，我可以用sel/**/ect來繞過，這招多見於mysql
6.有時候也可以sELeCT這樣大小寫混淆繞過
7.用chr對sql語句編碼進行繞過
8.如果等於號不好使，可以試試大於號或者小於號，如果and不好使可以試試or，這樣等價替換
9.多來幾個關鍵字確定是什麼防注入程序，直接猜測源碼或者根據報錯關鍵字（如"非法操作，ip地址已被記錄"）把源碼搞下來研究
10.記錄注入者ip和語句並寫入文件或資料庫，然而資料庫恰好是asp的，插馬秒殺
⑨ sql注入通俗說到底是什麼意思
一般開發，肯定是在前台有兩個輸入框，一個用戶名，一個密碼，會在後台里，讀取前台傳入的這兩個參數，拼成一段SQL，例如：
select
count(1)
from
tab
where
usesr=userinput
and
pass
=
passinput,把這段SQL連接數據後，看這個用戶名/密碼是否存在，如果存在的話，就可以登陸成功了，如果不存在，就報一個登陸失敗的錯誤。對吧。
但是有這樣的情況，這段SQL是根據用戶輸入拼出來，如果用戶故意輸入可以讓後台解析失敗的字元串，這就是SQL注入，例如，用戶在輸入密碼的時候，輸入
''''
'
or
1=1'',
這樣，後台的程序在解析的時候，拼成的SQL語句，可能是這樣的：
select
count(1)
from
tab
where
user=userinput
and
pass=''
or
1=1;
看這條語句，可以知道，在解析之後，用戶沒有輸入密碼，加了一個恆等的條件
1=1，這樣，這段SQL執行的時候，返回的
count值肯定大於1的，如果程序的邏輯沒加過多的判斷，這樣就能夠使用用戶名
userinput登陸，而不需要密碼。
防止SQL注入，首先要對密碼輸入中的單引號進行過濾，再在後面加其它的邏輯判斷，或者不用這樣的動態SQL拼。