您可以通過以下新聞與公司動態(tài)進(jìn)一步了解我們。我們所簽約的客戶,無論他們的項(xiàng)目是大或者小,我們都將提供好的服務(wù)。
-
SQL注入是神馬?
許多網(wǎng)站程序在編寫時,沒有對用戶輸入數(shù)據(jù)地合法性進(jìn)行判斷,使應(yīng)用程序存在安全隱患。用戶可以提交壹段數(shù)據(jù)庫查詢代碼(壹般是在瀏覽器地址欄進(jìn)行,通過正常地www端口訪問),根據(jù)程序返回地結(jié)果,獲得某些想得知地?cái)?shù)據(jù),這就是所謂地SQL Injection,即SQL注入。
網(wǎng)站地惡夢——SQL注入
SQL注入通過網(wǎng)頁對網(wǎng)站數(shù)據(jù)庫進(jìn)行修改。它能夠直接在數(shù)據(jù)庫中添加具有管理員權(quán)限地用戶,從而最終獲得系統(tǒng)管理員權(quán)限。黑客可以利用獲得地管理員權(quán)限任意獲得網(wǎng)站上地文件或者在網(wǎng)頁上加掛木馬和各種惡意程序,對網(wǎng)站和訪問該網(wǎng)站地網(wǎng)友都帶來巨大危害。
防御SQL注入有妙法
第壹步:很多新手從網(wǎng)上下載SQL通用防注入系統(tǒng)地程序,在需要防范注入地頁面頭部用來防止別人進(jìn)行手動注入測試。 可是如果通過SQL注入分析器就可輕松跳過防注入系統(tǒng)并自動分析其注入點(diǎn)。然后只需要幾分鐘,你地管理員賬號及密碼就會被分析出來。
第貳步:對于注入分析器地防范,通過實(shí)驗(yàn),發(fā)現(xiàn)啦壹種簡單有效地防范方法。首先我們要知道SQL注入分析器是如何工作地。在操作過程中,發(fā)現(xiàn)軟件并不是沖著“admin”管理員賬號去地,而是沖著權(quán)限(如flag=1)去地。這樣壹來,無論你地管理員賬號怎么變都無法逃過檢測。
第叁步:既然無法逃過檢測,那我們就做兩個賬號,壹個是普通地管理員賬號,壹個是防止注入地賬號,如果找壹個權(quán)限最大地賬號制造假象,吸引軟件地檢測,而這個賬號里地內(nèi)容是大于千字以上地中文字符,就會迫使軟件對這個賬號進(jìn)行分析地時候進(jìn)入全負(fù)荷狀態(tài)甚至資源耗盡而死機(jī)。下面我們就來修改數(shù)據(jù)庫吧。
①.對表結(jié)構(gòu)進(jìn)行修改。將管理員地賬號字段地?cái)?shù)據(jù)類型進(jìn)行修改,文本型改成最大字段255(其實(shí)也夠啦,如果還想做得再大點(diǎn),可以選擇備注型),密碼地字段也進(jìn)行相同設(shè)置。
②.對表進(jìn)行修改。設(shè)置管理員權(quán)限地賬號放在ID1,并輸入大量中文字符(最好大于100個字)。
③.把真正地管理員密碼放在ID②后地任何壹個位置(如放在ID⑤④⑨上)。
我們通過上面地叁步完成啦對數(shù)據(jù)庫地修改。 另外要明白您做地ID①賬號其實(shí)也是真正有權(quán)限地賬號,現(xiàn)在計(jì)算機(jī)處理速度那么快,要是遇上個壹定要將它算出來地軟件,這也是不安全地。只要在管理員登錄地頁面文件中寫入字符限制就行啦,就算對方使用這個有上千字符地賬號密碼也會被擋住地,而真正地密碼則可以不受限制。
北京歡迎你科技有限公司原創(chuàng)文章,關(guān)鍵詞:北京網(wǎng)站建設(shè) 北京建網(wǎng)站 北京網(wǎng)站制作 轉(zhuǎn)載請注明出處:www.shanghai2018.cn謝謝!
上一篇 :北京網(wǎng)站建設(shè)公司告訴我們神馬是網(wǎng)站建設(shè)之URL重定向或網(wǎng)址重定向?
下一篇 :北京網(wǎng)站建設(shè)公司總結(jié)備案信息填寫時重點(diǎn)需注意地問題!