① sql注入在网站安全中占多大的比重，学SQL注入可以作为网站安全人员吗
sql注入是很常见，也比较低级的漏洞，现在的开发人员基本都能避开sql注入的问题，都会去检测敏感关键字，使用sql变量，现在的网站已经很少存在sql注入了。
网站攻击有很多种，例如sql注入、xss跨站、暴力破解，针对web容器的攻击，针对server系统的攻击等，还有一些比较流氓的DDoS攻击，所以sql注入在网站安全中只是最基础的冰山一角，只学会这个是不够的
② 制作网站时,SQL注入是什么怎么注入法
SQL注入是:
许多网站程序在编写时，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码(一般是在浏览器地址栏进行,通过正常的www端口访问)，根据程序返回的结果，获得某些想得知的数据，这就是所谓的SQL Injection，即SQL注入。
网站的恶梦——SQL注入
SQL注入通过网页对网站数据库进行修改。它能够直接在数据库中添加具有管理员权限的用户，从而最终获得系统管理员权限。黑客可以利用获得的管理员权限任意获得网站上的文件或者在网页上加挂木马和各种恶意程序，对网站和访问该网站的网友都带来巨大危害。
防御SQL注入有妙法
第一步：很多新手从网上下载SQL通用防注入系统的程序，在需要防范注入的页面头部用 来防止别人进行手动注入测试。可是如果通过SQL注入分析器就可轻松跳过防注入系统并自动分析其注入点。然后只需要几分钟，你的管理员账号及密码就会被分析出来。
第二步：对于注入分析器的防范，笔者通过实验，发现了一种简单有效的防范方法。首先我们要知道SQL注入分析器是如何工作的。在操作过程中，发现软件并不是冲着“admin”管理员账号去的，而是冲着权限(如flag=1)去的。这样一来，无论你的管理员账号怎么变都无法逃过检测。
第三步：既然无法逃过检测，那我们就做两个账号，一个是普通的管理员账号，一个是防止注入的账号，为什么这么说呢?笔者想，如果找一个权限最大的账号制造假象，吸引软件的检测，而这个账号里的内容是大于千字以上的中文字符，就会迫使软件对这个账号进行分析的时候进入全负荷状态甚至资源耗尽而死机。下面我们就来修改数据库吧。
1.对表结构进行修改。将管理员的账号字段的数据类型进行修改，文本型改成最大字段255(其实也够了，如果还想做得再大点，可以选择备注型)，密码的字段也进行相同设置。
2.对表进行修改。设置管理员权限的账号放在ID1，并输入大量中文字符(最好大于100个字)。
3.把真正的管理员密码放在ID2后的任何一个位置(如放在ID549上)。
我们通过上面的三步完成了对数据库的修改。
这时是不是修改结束了呢?其实不然，要明白你做的ID1账号其实也是真正有权限的账号，现在计算机处理速度那么快，要是遇上个一定要将它算出来的软件，这也是不安全的。我想这时大多数人已经想到了办法，对，只要在管理员登录的页面文件中写入字符限制就行了!就算对方使用这个有上千字符的账号密码也会被挡住的，而真正的密码则可以不受限制。
③ web页面怎样做sql注入测试
直接在地址栏输入表达式进行测试.
示例：www.xx。net?id=1'or'1'='1
④ 计算机里面sql注入作用是什么
你好，很高兴为你解答：
SQL是操作 数据库 数据的结构化查询语言，网页的应用数据和后台数据库中的数据进行交互时会采用SQL。 而SQL注入是将Web页面的原 URL 、表单域或数据包输入的参数，修改拼接成SQL语句，传递给Web服务器，进而传给 数据库服务器 以执行数据库命令。
SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。
⑤ 【web安全】sql注入的利用方式有哪些
所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造（或者影响）动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。常见的SQL注入式攻击过程类如：
⑴ 某个ASP.NET Web应用有一个登录页面，这个登录页面控制着用户是否有权访问应用，它要求用户输入一个名称和密码。
⑵ 登录页面中输入的内容将直接用来构造动态的SQL命令，或者直接用作存储过程的参数。
⑥ 怎样对sql注入渗透测试使web站点可以通过任意用户名登录
如果是你自己的 web站点，规则由你定，你就可以通过任意用户名登录，如果是别人的web站点，要想通过任意用户名登录，这就是黑客的工作了
⑦ 如何进行sql注入
你，这是黑客的东西啊。不过只对安全性很差的系统有用。
比如你有一个SQL是这样的：SELECT fieldlist FROM table WHERE field = '$EMAIL';
你的原意是让用户输入$EMAIL的值，根据email地址查询，比如[email protected]，那么SQL就是
SELECT fieldlist FROM table WHERE field = '[email protected]';
但是我输入anything' OR 'x'='x作为email地址，SQL就变成
SELECT fieldlist FROM table WHERE field = 'anything' OR 'x'='x';了
这个SQL是怎么都会通过的。返回的值是你的表里面的所有内容。这样就达到黑客目的了。不过这东西是比较容易被防止的。
⑧ 【web安全】怎么进行sql注入
1.POST注入，通用防注入一般限制get，但是有时候不限制post或者限制的很少，这时候你就可以试下post注入，比如登录框、搜索框、投票框这类的。另外，在asp中post已被发扬光大，程序员喜欢用receive来接受数据，这就造成了很多时候get传递的参数通过post/cookie也能传递，这时如果恰好防注入程序只限制了get，因此post注入不解释
2.cookie注入，原理同post注入，绕过相当多通用防注入
3.二次注入，第一次注入的数据可能不会有效，但是如果将来能在某个页面里面被程序处理呢?注入来了……
4.csrf，适合后台地址已知并且存在已知0day，可以试试用csrf劫持管理员来进行操作（这招其实不属于sql注入了）
5.打碎关键字，比如过滤select，我可以用sel/**/ect来绕过，这招多见于mysql
6.有时候也可以sELeCT这样大小写混淆绕过
7.用chr对sql语句编码进行绕过
8.如果等于号不好使，可以试试大于号或者小于号，如果and不好使可以试试or，这样等价替换
9.多来几个关键字确定是什么防注入程序，直接猜测源码或者根据报错关键字（如"非法操作，ip地址已被记录"）把源码搞下来研究
10.记录注入者ip和语句并写入文件或数据库，然而数据库恰好是asp的，插马秒杀
⑨ sql注入通俗说到底是什么意思
一般开发，肯定是在前台有两个输入框，一个用户名，一个密码，会在后台里，读取前台传入的这两个参数，拼成一段SQL，例如：
select
count(1)
from
tab
where
usesr=userinput
and
pass
=
passinput,把这段SQL连接数据后，看这个用户名/密码是否存在，如果存在的话，就可以登陆成功了，如果不存在，就报一个登陆失败的错误。对吧。
但是有这样的情况，这段SQL是根据用户输入拼出来，如果用户故意输入可以让后台解析失败的字符串，这就是SQL注入，例如，用户在输入密码的时候，输入
''''
'
or
1=1'',
这样，后台的程序在解析的时候，拼成的SQL语句，可能是这样的：
select
count(1)
from
tab
where
user=userinput
and
pass=''
or
1=1;
看这条语句，可以知道，在解析之后，用户没有输入密码，加了一个恒等的条件
1=1，这样，这段SQL执行的时候，返回的
count值肯定大于1的，如果程序的逻辑没加过多的判断，这样就能够使用用户名
userinput登陆，而不需要密码。
防止SQL注入，首先要对密码输入中的单引号进行过滤，再在后面加其它的逻辑判断，或者不用这样的动态SQL拼。