『壹』 安全測試中sql注入是什麼測試過程中如何發現SQL注入
所謂SQL注入，就是通過把SQL命令插入到Web表單提交或輸入域名或頁面請求的查詢字元串，最終達到欺騙伺服器執行惡意的SQL命令。具體來說，它是利用現有應用程序，將（惡意）的SQL命令注入到後台資料庫引擎執行的能力，它可以通過在Web表單中輸入（惡意）SQL語句得到一個存在安全漏洞的網站上的資料庫，而不是按照設計者意圖去執行SQL語句。 比如先前的很多影視網站泄露VIP會員密碼大多就是通過WEB表單遞交查詢字元暴出的，這類表單特別容易受到SQL注入式攻擊．
一般來說要阻止sql注入，需要前後端配合表單的內容進行驗證。我是前端的，只要對表單的輸入綁定change事件，對其中的內容進行正則驗證，阻止用戶輸入特殊字元（比如\轉義字元）。
『貳』 請問SQL語法中特殊字元包含哪些，越詳細越好
馬生馬，驢生驢，這是理所當然的真諦。可是騾子為什麼不能生育呢？農夫們都知道，騾子的爸爸是驢，而媽媽是馬。本來啊，有一天一個叛逆的公驢跟不孝敬的小母馬相愛了，可是抵抗不了傳統和家人的強烈反對，就悄悄的私奔了。它們跑了良久許久，到了很遠很遠的處所，終於保險了，終於逃離里郅酷，到了屬於他們的恩愛自在的天地。後來驢耕馬織，相親相愛，過上了無牽無掛的充裕生涯。沒過太久，它們便有了結晶，生下了一個小乖乖。小傢伙乖巧可惡，誰見了都會用手摸摸它的頭。可是由於它既象馬又象驢，始終不曉得怎麼該稱說它。這天一位皇帝微服私訪，途經這小寨迷了路，就問小騾子：「前邊是哪裡啊？小馬？」「前面是飲馬河。」小傢伙道。「真聽話，真乖的小馬。」皇帝說完，用手摸摸小騾子的頭，感到有一點點奇異，怎麼既象馬又象驢呢，就又問：「你爸爸和媽媽都是誰啊？」「我爸爸是驢，我媽媽是馬」。「哦，這樣啊」皇帝微微的搖了搖頭。靈巧懂事的小傢伙自動輔助皇帝載過了河。並持續往前指引了途徑。天子摸著小傢伙的頭：「真是懂事的好孩子，為了感激你，你能夠許個願，我能幫你實現。」「真的啊？」。小傢伙略有點懷疑的問皇帝。實在，它哪裡知道談話的就是皇帝呢。「真的。」皇帝很誠懇的點著頭。「那我想一輩子都快樂，可以么？」小傢伙無邪的許諾道。「好的，我必定幫你實現這個慾望，我送你一個名字，就叫騾子吧。你會一輩子快樂的。」忽然間，皇帝不見了，可聲音還在山谷回盪。小騾子還不讀懂快樂的真正含意，然而佔有快樂是他最近的宿願。皇帝的話可是金口玉言啊，自那當前，小騾子就終日沉迷在快活之中。有了快樂的同時也有更多的充分的時光。在舊社會，小日本橫行中國的時候，小騾子也勇敢的加入了多次戰斗。沒有槍沒有炮，但是它天天都吃得飽飽的攢足了勁運足了氣。聽奶奶說，這頭小騾子的屁臭死好多少個日本鬼子。好屢次瞄得十分准，直接對著小日本的嘴就放。放完就趕快跑掉，再尋找下一個目的。那天，合法一個屁臭逝世一個小日本後，從天上降下一個人，小騾子一看，恰是那個皇帝。皇帝直接到：「你是好樣的，為了人類的和溫和人們的解放事業你做到了出色和凸起的奉獻，為了褒獎你，繁殖後輩的事件就給你免了，讓你有更多的時間來做更有意思的事情，不外，快樂將繼承陪同你畢生。」說完，微笑著，緩緩變成一股金黃色的煙霧消散了。從此以後，這個小騾子不生養的事實就嫡傳了下來。現在游哉樂哉，跟平協調年代，無閑屁可放，也無役可戰。領有著的只剩下享受不盡的幸福與快樂。
『叄』 什麼是sql注入如何防止sql注入
SQL注入是一種非常常見的資料庫攻擊手段，同時也是網路世界中最普遍的漏洞之一，簡單理解就是惡意用戶通過在表單中填寫包含SQL關鍵字的數據來使資料庫執行非常規代碼的過程。
問題來源是，SQL資料庫的操作是通過SQL語句來執行的，而無論是執行代碼還是數據項都必須寫在SQL語句中，也就導致如果我們在數據項中加入了某些SQL語句關鍵字，比如SELECT、DROP等，這些關鍵字就很有可能在資料庫寫入或讀取數據時得到執行。
解決方案
方案一：
採用預編譯技術
使用預編譯的SQL語句，SQL語句的語義不會是不會發生改變的。預編譯語句在創建的時候就已經將指定的SQL語句發送給了DBMS，完成了解析，檢查，編譯等工作，所以攻擊者無法改變SQL語句的結構，只是把值賦給?，然後將?這個變數傳給SQL語句。當然還有一些通過預編譯繞過某些安全防護的操作，大家感興趣可以去搜索一下。
方案二：
嚴格控制數據類型
在java、c等強類型語言中一般是不存在數字型注入的，因為在接受到用戶輸入id時，代碼一般會做一個int id 的數據類型轉換，假如我們輸入的是字元串的話，那麼這種情況下，程序就會報錯。但是在PHP、ASP這些沒有強調處理數據類型的語言，一般我們看到的接收id的代碼都是如下等代碼。
方案三：
對特殊的字元進行轉義
數字型注入可以通過檢查數據類型防止，但是字元型不可以，那麼怎麼辦呢，最好的辦法就是對特殊的字元進行轉義了。比如在MySQL中我們可以對" '
"進行轉義，這樣就防止了一些惡意攻擊者來閉合語句。當然我們也可以通過一些安全函數來轉義特殊字元。如addslashes()等，但是這些函數並非一勞永逸，攻擊者還可以通過一些特殊的方式繞過。
『肆』 sql 注入 查詢 特殊符號怎麼處理
防止sql注入，最簡單的辦法就是不要拼接sql，而是採用SqlParameter參數化形式，如果條件可能有可能沒有，可以採用：
string sql = "select * from xx where 1=1";
if(true){
sql += " and id=@id";
command.Parameters.Add(new SqlParameter
}
如果非要拼接sql，那麼對於數值型，拼接前判斷下是否數值，
字元串類型拼接前進行str.Replace("'", "''");// 把一個單引號替換為兩個單引號
就可以避免sql注入了
『伍』 針對sql注入攻擊，有哪些防範措施
SQL注入攻擊的危害很大，而且防火牆很難對攻擊行為進行攔截，主要的SQL注入攻擊防範方法，具體有以下幾個方面。
1、分級管理
對用戶進行分級管理，嚴格控制用戶的許可權，對於普通用戶，禁止給予資料庫建立、刪除、修改等相關許可權，只有系統管理員才具有增、刪、改、查的許可權。
2、參數傳值
程序員在書寫SQL語言時，禁止將變數直接寫入到SQL語句，必須通過設置相應的參數來傳遞相關的變數。從而抑制SQL注入。數據輸入不能直接嵌入到查詢語句中。同時要過濾輸入的內容，過濾掉不安全的輸入數據。或者採用參數傳值的方式傳遞輸入變數，這樣可以最大程度防範SQL注入攻擊。
3、基礎過濾與二次過濾
SQL注入攻擊前，入侵者通過修改參數提交and等特殊字元，判斷是否存在漏洞，然後通過select、update等各種字元編寫SQL注入語句。因此防範SQL注入要對用戶輸入進行檢查，確保數據輸入的安全性，在具體檢查輸入或提交的變數時，對於單引號、雙引號、冒號等字元進行轉換或者過濾，從而有效防止SQL注入。
當然危險字元有很多，在獲取用戶輸入提交參數時，首先要進行基礎過濾，然後根據程序的功能及用戶輸入的可能性進行二次過濾，以確保系統的安全性。
4、使用安全參數
SQL資料庫為了有效抑制SQL注入攻擊的影響。在進行SQLServer資料庫設計時設置了專門的SQL安全參數。在程序編寫時應盡量使用安全參數來杜絕注入式攻擊，從而確保系統的安全性。
5、漏洞掃描
為了更有效地防範SQL注入攻擊，作為系統管理除了設置有效的防範措施，更應該及時發現系統存在SQL攻擊安全漏洞。系統管理員可以采購一些SQL漏洞掃描工具，通過專業的掃描工具，可以及時的掃描到系統存在的相應漏洞。
6、多層驗證
現在的網站系統功能越來越龐大復雜。為確保系統的安全，訪問者的數據輸入必須經過嚴格的驗證才能進入系統，驗證沒通過的輸入直接被拒絕訪問資料庫，並且向上層系統發出錯誤提示信息。同時在客戶端訪問程序中驗證訪問者的相關輸入信息，從而更有效的防止簡單的SQL注入。但是如果多層驗證中的下層如果驗證數據通過，那麼繞過客戶端的攻擊者就能夠隨意訪問系統。因此在進行多層驗證時，要每個層次相互配合，只有在客戶端和系統端都進行有效的驗證防護，才能更好地防範SQL注入攻擊。
7、資料庫信息加密
傳統的加解密方法大致分為三種：對稱加密、非對稱加密、不可逆加密。
『陸』 什麼是sql注入sql注入有哪些方式防止sql注入又有哪些方式(.Net下)
所謂SQL注入，其實是程序漏洞，沒有什麼技術，比如下面的語句就可能被注入
SQL="SELECT * FROM ADMIN WHERE USER='" &REQUEST("USER")& "' AND PASS ='" &REQUEST("PASS")& "'"
別人可以精心設計一個PASS參數提交給你，使得你的SQL完成其它功能，例如PASS的值為：
abc' OR USER='admin
這時候SQL語句是什麼樣子，你看看：
SELECT * FROM ADMIN WHERE USER='admin' AND PASS='abc' OR USER='admin'
任何密碼都可以成功登錄。
解決的方法：程序應該判斷USER和PASS這些參數裡面是否有引號等特殊符號。
上面是一個簡單的例子，通過提交精心設計的參數，還可以修改你的資料庫。
『柒』 SQL注入是什麼意思
SQL注入屬於注入式攻擊，這種攻擊是因為在項目中沒有將代碼與數據隔離，在讀取數據的時候，錯誤地將數據作為代碼的一部分執行而導致的。
如何處理SQL注入情況?三個方面：
1、過濾用戶輸入參數中的特殊字元，降低風險;
2、禁止通過字元串拼接sql語句，嚴格使用參數綁定來傳入參數;
3、合理使用資料庫框架提供的機制。
『捌』 避免mysql注入應該避免有哪些特殊字元
特殊字元有：
SQL中通配符的使用
SQL注入式攻擊，就是攻擊者把SQL命令插入到Web表單的輸入域或頁面請求的查詢字元串，欺騙伺服器執行惡意的SQL命令。在某些表單中，用戶輸入的內容直接用來構造（或者影響）動態SQL命令，或作為存儲過程的輸入參數，這類表單特別容易受到SQL注入式攻擊。