A. 如何利用webscarab完成sql注入攻擊的測試
直接在程序或者桌面（如果有的話）啟動webscarab,點擊proxy標簽，選listener，在下面添加，ip設為127.0.0.18008或者80，無所謂，點擊頁面右面的"start"就可以了，然後你就可以打開網頁，webscarab就會捕獲客戶端發出的一切請求，你可以修改請
B. 安全測試的sql注入語句怎麼寫求分享 求幫助
用阿D注入軟體就可以了。 很簡單的。可以直接點擊就自動運行，也可以輸入語句。
打字不容易，感覺ok就給個好評採納吧，謝謝。。。。。
C. 求一個可以SQL注入的網址！！！
如果以前沒玩過注入，
請把IE菜單-工具-Internet選項－高級－顯示友好HTTP錯誤信息前面的勾去掉。
為了把問題說明清楚，以下以asp?id=xx(" target=_blank>(這個地址是假想的)
為例進行分析，xx可能是整型，也有可能是字元串。
1、整型參數的判斷
當輸入的參數xx為整型時，通常news.asp中SQL語句原貌大致如下：
select * from 表名 where 欄位=xx，所以可以用以下步驟測試SQL注入是否存在。
最簡單的判斷方法
』(附加一個單引號)，
此時news.asp中的SQL語句變成了
select * from 表名 where 欄位=xx』，
如果程序沒有過濾好「』」的話
就會提示 news.asp運行異常；
但這樣的方法雖然很簡單，但並不是最好的
因為
first,不一定每台伺服器的IIS都返回具體錯誤提示給客戶端，
如果程序中加了cint(參數)之類語句的話，SQL注入是不會成功的，
但伺服器同樣會報錯，具體提示信息為處理 URL 時伺服器上出錯。
請和系統管理員聯絡。
second，目前大多數程序員已經將「』「 過濾掉，所以用」 』」測試不到注入點
所以一般使用經典的1=1和1=2測試方法
見下文：
and 1=1, news.asp運行正常，
而且與運行結果相同；
and 1=2, news.asp運行異常；（這就是經典的 1=1 ;1=2 判斷方法）
如果以上面滿足，news.asp中就會存在SQL注入漏洞，反之則可能不能注入。
2、字元串型參數的判斷
方法與數值型參數判斷方法基本相同
當輸入的參數xx為字元串時，通常news.asp中SQL語句原貌大致如下：
select * from 表名 where 欄位='xx'，所以可以用以下步驟測試SQL注入是否存在。
』(附加一個單引號)，此時news.asp中的SQL語句變成了
select * from 表名 where 欄位=xx』，news.asp運行異常；
and '1'='1', news.asp運行正常，
而且與運行結果相同；
and '1'='2', news.asp運行異常；
如果以上滿足，則news.asp存在SQL注入漏洞，反之則不能注入
3、特殊情況的處理
有時ASP程序員會在程序員過濾掉單引號等字元，以防止SQL注入。此時可以用以下幾種方法試一試。
①大小定混合法：由於VBS並不區分大小寫，而程序員在過濾時通常要麼全部過濾大寫字元串，要麼全部過濾小寫字元串，而大小寫混合往往會被忽視。如用SelecT代替select,SELECT等；
②UNICODE法：在IIS中，以UNICODE字元集實現國際化，我們完全可以IE中輸入的字元串化成UNICODE字元串進行輸入。如+ =%2B，空格=%20 等
；URLEncode信息參見附件一；
③ASCII碼法：可以把輸入的部分或全部字元全部
<4>出了上述方法以外，還有個更簡單的方法就是使用現成的工具
像NB聯盟的NBSI就是一款很不錯的工具，目前最新的版本為2.2
D. 怎樣對sql注入滲透測試使web站點可以通過任意用戶名登錄
如果是你自己的 web站點，規則由你定，你就可以通過任意用戶名登錄，如果是別人的web站點，要想通過任意用戶名登錄，這就是黑客的工作了
E. 哪些工具可以用來測試sql注入漏洞
SQL注入漏洞有哪些 SQL注入攻擊是當今最危險、最普遍的基於Web的攻擊之一。所謂注入攻擊，是攻擊者把SQL命令插入到Web表單的輸入域頁面請求的查詢字元串中，如果要對一個網站進行SQL注入攻擊，首先需要找到存在SQL注入漏洞的地方
F. 測試登陸頁面時，如何測試SQL注入漏洞呢
許多網站程序在編寫時，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。用戶可以提交一段資料庫查詢代碼(一般是在瀏覽器地址欄進行,通過正常的www埠訪問)，根據程序返回的結果，獲得某些想得知的數據，這就是所謂的SQL Injection，即SQL注入。
網站的惡夢——SQL注入
SQL注入通過網頁對網站資料庫進行修改。它能夠直接在資料庫中添加具有管理員許可權的用戶，從而最終獲得系統管理員許可權。黑客可以利用獲得的管理員許可權任意獲得網站上的文件或者在網頁上加掛木馬和各種惡意程序，對網站和訪問該網站的網友都帶來巨大危害。
防禦SQL注入有妙法
第一步:很多新手從網上下載SQL通用防注入系統的程序，在需要防範注入的頁面頭部用來防止別人進行手動注入測試。
可是如果通過SQL注入分析器就可輕松跳過防注入系統並自動分析其注入點。然後只需要幾分鍾，你的管理員賬號及密碼就會被分析出來。
第二步:對於注入分析器的防範，通過實驗，發現了一種簡單有效的防範方法。首先我們要知道SQL注入分析器是如何工作的。在操作過程中，發現軟體並不是沖著「admin」管理員賬號去的，而是沖著許可權(如flag=1)去的。這樣一來，無論你的管理員賬號怎麼變都無法逃過檢測。
第三步:既然無法逃過檢測，那我們就做兩個賬號，一個是普通的管理員賬號，一個是防止注入的賬號，如果找一個許可權最大的賬號製造假象，吸引軟體的檢測，而這個賬號里的內容是大於千字以上的中文字元，就會迫使軟體對這個賬號進行分析的時候進入全負荷狀態甚至資源耗盡而死機。下面我們就來修改資料庫吧。
1.對表結構進行修改。將管理員的賬號欄位的數據類型進行修改，文本型改成最大欄位255(其實也夠了，如果還想做得再大點，可以選擇備注型)，密碼的欄位也進行相同設置。
2.對表進行修改。設置管理員許可權的賬號放在ID1，並輸入大量中文字元(最好大於100個字)。
3.把真正的管理員密碼放在ID2後的任何一個位置(如放在ID549上)。
我們通過上面的三步完成了對資料庫的修改。
另外要明白您做的ID1賬號其實也是真正有許可權的賬號，現在計算機處理速度那麼快，要是遇上個一定要將它算出來的軟體，這也是不安全的。只要在管理員登錄的頁面文件中寫入字元限制就行了，就算對方使用這個有上千字元的賬號密碼也會被擋住的，而真正的密碼則可以不受限制。
G. SQL注入求教學希望有網站可以測試
SQL注入是多少年前的 東西了。包括現在主流的IIS,Apache,Tomat 搭建的基礎環境 都可以在全局方面去防範SQL注入了。
如果你想測試 建議你去一些老的網站 asp 的 去嘗試。
H. 如何測試一個網站是不是可以被SQL注入
SQL注入通過網頁對網站資料庫進行修改。它能夠直接在資料庫中添加具有管理員許可權的用戶，從而最終獲得系統管理員許可權。黑客可以利用獲得的管理員許可權任意獲得網站上的文件或者在網頁上加掛木馬和各種惡意程序，對網站和訪問該網站的網友都帶來巨大危害。
防禦SQL注入有妙法
第一步:很多新手從網上下載SQL通用防注入系統的程序，在需要防範注入的頁面頭部用來防止別人進行手動注入測試。
可是如果通過SQL注入分析器就可輕松跳過防注入系統並自動分析其注入點。然後只需要幾分鍾，你的管理員賬號及密碼就會被分析出來。
第二步:對於注入分析器的防範，通過實驗，發現了一種簡單有效的防範方法。首先我們要知道SQL注入分析器是如何工作的。在操作過程中，發現軟體並不是沖著「admin」管理員賬號去的，而是沖著許可權(如flag=1)去的。這樣一來，無論你的管理員賬號怎麼變都無法逃過檢測。
第三步:既然無法逃過檢測，那我們就做兩個賬號，一個是普通的管理員賬號，一個是防止注入的賬號，如果找一個許可權最大的賬號製造假象，吸引軟體的檢測，而這個賬號里的內容是大於千字以上的中文字元，就會迫使軟體對這個賬號進行分析的時候進入全負荷狀態甚至資源耗盡而死機。下面我們就來修改資料庫吧。
1.對表結構進行修改。將管理員的賬號欄位的數據類型進行修改，文本型改成最大欄位255(其實也夠了，如果還想做得再大點，可以選擇備注型)，密碼的欄位也進行相同設置。
2.對表進行修改。設置管理員許可權的賬號放在ID1，並輸入大量中文字元(最好大於100個字)。
3.把真正的管理員密碼放在ID2後的任何一個位置(如放在ID549上)。
我們通過上面的三步完成了對資料庫的修改。
另外要明白您做的ID1賬號其實也是真正有許可權的賬號，現在計算機處理速度那麼快，要是遇上個一定要將它算出來的軟體，這也是不安全的。只要在管理員登錄的頁面文件中寫入字元限制就行了，就算對方使用這個有上千字元的賬號密碼也會被擋住的，而真正的密碼則可以不受限制。
I. web頁面怎樣做sql注入測試
直接在地址欄輸入表達式進行測試.
示例：www.xx。net?id=1'or'1'='1