非Web SQL注入
非Web SQL注入是指在不通过Web应用程序的情况下，通过其他方式（如本地应用程序、移动应用程序或其他客户端）直接与数据库服务器进行交互，从而利用数据库中的数据或执行非法操作。这种类型的攻击可能涉及到远程代码执行、拒绝服务攻击、数据泄露或其他类型的攻击。
针对非Web SQL注入攻击，可以采取以下措施来防范：
- 使用参数化查询：参数化查询是一种将参数与SQL语句分开处理的方法，可以有效防止SQL注入攻击。
- 限制用户权限：为数据库用户提供最小化权限，以便仅允许执行必要的操作。
- 验证用户输入：对用户输入进行严格验证，确保输入符合预期的格式和范围。
- 使用Web应用程序防火墙：Web应用程序防火墙可以检测并阻止非法请求，从而防止非Web SQL注入攻击。
- 定期更新和升级数据库软件：及时更新和升级数据库软件，以修复已知的安全漏洞。
- 加密数据库连接：使用SSL/TLS等加密技术来保护数据库连接，以防止数据泄露。
- 使用安全的密码策略：为数据库用户设置强制密码策略，包括复杂性、过期和最小长度等要求。
推荐的腾讯云相关产品：
腾讯云数据库产品线包括云数据库MySQL、云数据库PostgreSQL、云数据库MongoDB、云数据库Redis等，可以满足不同类型数据库的需求。此外，腾讯云还提供数据库备份、迁移、监控等相关服务，以帮助用户更好地管理和保护数据库。
产品介绍链接地址：https://cloud.tencent.com/product/cdb
请注意，虽然本回答中提到了腾讯云，但我们并不代表或推荐任何特定的云计算品牌商。
相关·内容
1回答
我正在使用codeigniter philsturgeon库来开发Web服务。那么，如何防止来自SQL服务的SQL注入呢？在codeigniter中有没有库可以防止来自restful SQL服务的SQL注入？
提前谢谢。
浏览 0提问于2012-05-02得票数 1
我正在注射：
-35' and updatexml(null,concat(0x3a,(0x0a,(select database()))),null)-- -
我收到了：
Error 1 - Operand should contain 1 column(s)
知道怎么解决这个问题吗？我正在尝试获取数据库类型。
参考文献：
http://www.securityidiots.com/Web-Pentest/SQL-Injection/Error-Based-Injection-Subquery-Injection.html
http://securityidiots.com/Web-
浏览 0提问于2022-05-22得票数 1
我有一个web api，它使用只读连接连接到我的Server，并且希望允许精通技术的api用户在querystring上输入SQL子句。基本上，我只想将它们输入到select语句中。
最小特权(仅在一个表上选择能力)、只读数据库连接是否可以防止所有注入攻击？
浏览 0提问于2015-04-26得票数 54
回答已采纳
我的错误就像
非静态字段、方法或属性“System.Web.UI.Page.Session.get”需要对象引用。
你能建议我在会议上从这个问题中恢复过来吗？
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.Services;
using System.Confi
浏览 0提问于2014-03-12得票数 5
回答已采纳
据我所知，sql注入定义是：
SQL注入是黑客使用的一种应用层攻击技术，通过针对基于web的应用程序从组织中窃取数据。
如果表单提交可以保存SQL语句，那么是否应该将其视为SQL注入，直到无法操作任何数据为止？
假设我有一个具有textarea输入的联系人表单。有人认为：
SELECT * FROM users
我的应用程序允许保存这些数据。这是否被视为SQL注入？
浏览 1提问于2018-04-08得票数 0
回答已采纳
3回答
我正在研究防火墙规则的语义表示，但在HTTP协议方面找不到一个很好的Web攻击分类。我确实发现了web攻击的分类，即XSS攻击、SQL攻击。
浏览 0提问于2012-07-31得票数 1
回答已采纳
在Java 10上使用Wildfly 11 Final。
我有JASPIC实现，它本身就能正常工作。我需要将它连接到DB，以便在public AuthStatus validateRequest(MessageInfo messageInfo, Subject clientSubject, Subject serviceSubject) throws AuthException {...}中进行身份验证。然而，@Resource(mappedName="java:jboss/datasources/someDB") javax.sql.DataSource db;始终是db的n
浏览 5提问于2018-05-16得票数 0
回答已采纳
我尝试使用Hack Bar在网站上执行SQL注入。服务器没有响应SQL错误。
我还尝试使用sqlmap：
sqlmap -u http://website/login.php?op=login --dbs
sqlmap -u http://website/login.php?id=1 --dbs
[10:06:33] [CRITICAL] all tested parameters appear to be not injectable.
所以我的问题是:即使web服务器没有显示任何错误，也可以得到SQL注入吗？
浏览 0提问于2016-11-02得票数 2
回答已采纳
2回答
在web应用程序的上下文中，漏洞扫描是否是一种形式的模糊？
我被告知情况并非如此，但我知道的是：
Wikipedia将模糊定义为“向计算机程序的输入提供无效、意外或随机的数据”。
Web应用程序漏洞扫描器发送无效的意外数据，以识别SQL注入或跨站点脚本等漏洞。
浏览 0提问于2016-05-29得票数 1
回答已采纳
2回答
准备语句和SQL注入
、、、
我一直在阅读关于准备好的声明，它说SQL注入仍然是非常有可能的。现在，如果我正在创建一个web应用程序，我会使用spring，但我认为它允许这样的攻击很奇怪。
PreparedStatement强制您选择索引。这将导致许多问题，因为您并不总是希望一次又一次地选择相同的位置来存储数据。即使你创建了一个计数器，它也会产生相反的效果，因为它会重置程序关闭的所有内容。
String query = "INSERT INTO offers (name,email.text) VALUES
'"+name+"','"+email+ "
浏览 0提问于2015-04-03得票数 0
回答已采纳
4回答
注入的定义
SQL注入是一种代码注入技术，用于攻击数据驱动的应用程序，其中恶意SQL语句被插入入口字段以执行(例如将数据库内容转储给攻击者)。
SQL注入如何影响AndroidO.S
安卓应用程序中使用的SQLite是功能齐全的数据库，因此就像Server或MySQL框一样，它们也容易受到SQL注入的影响。SQL注入通常通过将数据添加到查询字符串或在表单字段中添加数据来工作；允许黑客访问数据库或未经授权的登录。SQL注入通常用于攻击Web视图或web服务，但也可用于攻击活动。
SQL注入漏洞的根本原因是使用动态或连接SQL查询。如果SQL查询是通过连接用户提供的输入来构造的，则用户可以提供S
浏览 2提问于2015-05-22得票数 5
2回答
我们使用nhibernate已经快一年了。我想知道有没有可以注入的漏洞(比如SQL注入等)。使用web应用程序。如果有的话，我只想通过web应用程序保护任何nhibernate注入。
浏览 0提问于2009-06-08得票数 1
我们有基于web的内部工具，允许对数据库的任意SQL查询。对该工具的访问受到限制。与有人故意篡改数据或攻击相比，我更担心的是错误或事故。
查询最终由Statement.executeQuery执行，并返回结果。我尝试了几次测试运行，正如文档所显示的那样，executeQuery似乎在select之外的任何其他调用上都失败了。
是否有其他SQL语句/组合可以诱使executeQuery调用导致数据库中的更改(插入/更新/删除/删除等)。我尝试了几个web上可用的SQL注入示例，但每次都失败了。
浏览 6提问于2015-06-24得票数 2
7回答
SQL注入一直是一个热门话题，尤其是在web安全方面。在这方面，我感兴趣的是，应该始终采取哪些步骤来防止任何web应用程序中的SQL注入？此外，除了这些正常的步骤之外，还有什么是人们为防止它而做的事吗？
浏览 0提问于2010-12-20得票数 19
回答已采纳
下面是以下伪代码：
public updated(int id) {
// Note that variable **id** is not surrounded by single/double quotes.
sql = "Update table user set status=2 where user_id=**id** ";
// execute command
}
这是否容易受到SQL注入(可能是算术SQL注入)的攻击？
浏览 0提问于2016-11-11得票数 8
我想知道是否有可能将sql查询注入过程参数。我有特殊情况：
ALTER PROCEDURE [Test].[Injection]
@Query varchar(250) = null
AS
SET NOCOUNT ON
SET @Query = REPLACE(@Query,'','') COLLATE Latin1_General_CI_AI
... more sql code
SELECT * FROM Customers
WHERE (@Query IS NULL OR (Name COLLATE Latin1_General_CI_AI like &
浏览 0提问于2018-08-02得票数 0
回答已采纳
最近我使用了像burp，appscan这样的工具来从安全的角度测试web应用程序。这些工具使用矢量来查找web应用程序中的漏洞。观察到其中很少使用http请求报头以编码形式注入sql命令。在这种情况下，是否有适用于SQL命令的特定编码？
提前谢谢。
浏览 11提问于2016-08-26得票数 0
9回答
我一直在向我的同事和其他人宣讲在SQL查询中使用参数的好处，特别是在.NET应用程序中。我甚至向他们承诺对SQL注入攻击具有免疫力。
但我开始怀疑这是不是真的。是否有任何已知的SQL注入攻击可以针对参数化查询成功？例如，您是否可以发送一个在服务器上导致缓冲区溢出的字符串？
当然，要确保web应用程序的安全性还有其他的考虑因素(比如清理用户输入之类的东西)，但现在我考虑的是SQL注入。我对针对MsSQL 2005和2008的攻击特别感兴趣，因为它们是我的主要数据库，但所有的数据库都很有趣。
编辑:澄清我所说的参数和参数化查询的含义。通过使用参数，我的意思是使用“变量”而不是在字符串中构建sql查
浏览 1提问于2008-11-20得票数 85
回答已采纳
1回答
如何使插入更安全？
、、、
这是我的方法。如您所见，我使用本机sql执行INSERT查询。
public void addNews(String title, String content) {
Session session = null;
session = this.sessionFactory.getCurrentSession();
Query query = session
.createSQLQuery(
"INSERT INTO news VALUES(NULL,:t
浏览 2提问于2013-08-16得票数 1
回答已采纳
1回答
我有以下代码，这些代码是由我的web项目中的其他人编写的：
StringBuilder sql = new StringBuilder("");
// Define sql
sql.Append("SELECT title ");
sql.Append("FROM MyTable ");
sql.Append(string.Format("WHERE id = {0} AND Var = '{1}'", myId, myVar));
DataTable dtGro
浏览 2提问于2012-12-01得票数 0
我正在努力减少我的web应用程序的漏洞，这样我的web应用程序就可以不受SQL注入的影响。那么，我可以使用触发器来减少一些SQL注入攻击吗？
浏览 2提问于2015-09-28得票数 0
回答已采纳
作为我工作的一部分，我定期测试web应用程序的漏洞。当涉及到SQL注入时，我的方法是从手动浏览网站开始，然后将我怀疑与数据库交互的参数发送到SQLMap。
现在，我想知道这是否是寻找SQL注入的正确方式？SQLMap是否能够找到大多数类型的SQL注入，或者我是否应该求助于手动测试？
浏览 0提问于2016-05-16得票数 8
这是我的配置文件
import java.util.Properties;
import javax.sql.DataSource;
import org.apache.commons.dbcp.BasicDataSource;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.ComponentScan;
import
浏览 22提问于2020-02-15得票数 0
1回答
Sql盲注入
、、、
我有基于c#表单的web应用程序。当我通过Acunetix web scanner扫描应用程序时，它在添加模块部分给了我一个盲目的sql注入。Acunteix生成的报告是
POST (multipart) input ctl00$ContentPlaceHolder1$ddlRecommendoffer was set to -87
POST /
此ddlRecommendoffer是一个下拉列表，从数据库中获取值，当我将表单存储在数据库中时，将此下拉列表的值获取为
ddlRecommendoffer.SelectedValue.ToString()
DDL值理想情况下应为int(数据库中
浏览 0提问于2013-08-03得票数 0
我使用WebMVC并按类生成web服务。Web服务响应正常，但是在数据存储时会出现空点异常。
web服务类，piDNHeaderDAO1获取空点异常
public class wm011DNinfo {
@Autowired
private PIDNHeaderDAO piDNHeaderDAO1;
public OUTDNResponse[] processGenerate(INDNHeader[] inDNHeaders, INDNItem[] inDNItems) {
//for data store
PIDNHeader
浏览 0提问于2017-03-22得票数 0
2回答
我正在对站点上的所有sql语句进行重新编码，以使用PDO和准备好的语句。我已经尽了最大努力了解SQL注入的工作原理，所以我有一个问题。
如果我有一个页面，比如viewitems.php，该页面将查询数据库，从一个表中拉入所有数据，并在页面上显示所有数据。由于用户没有任何输入，这能被注入吗？我知道可以注入使用带有标题变量的数据向下钻取的页面，因为用户可以干扰标题，但是如果SQL被编码到页面中，而不需要任何外部变量，它可以被注入吗？
浏览 0提问于2013-02-24得票数 0
回答已采纳
我已经将SQL集成到我的web应用程序中(使用Django web框架)，但现在我想为非SQLite组件添加MongoDB。有没有办法同时使用SQL和NO-SQL？
浏览 3提问于2018-11-11得票数 0
2回答
我有个问题我希望有人能帮上忙。
我正在从头开始编写SQL注入工具(我知道已经有一些优秀的工具，比如SQL，但这个工具必须从头开始编写)。
我遇到的问题：
当手动执行SQL注入以确定表、名称或列名等时，使用字符串，如：
www.vulnerable site.net/articles.php?id =-1 union select 1,2,group_concat(column_name),4 from information_schema.columns --
或
www.vulnarable site.net/articles.php?id =-1 union select 1,2,tabl
浏览 0提问于2013-04-24得票数 5
回答已采纳
3回答
测试sql注入的SQLMAP
、、、、
我运行SQLMAP来测试其中一个站点的SQL注入，并获得以下信息。
sqlmap identified the following injection points with a total of 78 HTTP(s) requests:
---
Place: GET
Parameter: id
Type: boolean-based blind
Title: AND boolean-based blind - WHERE or HAVING clause
Payload: id=666' AND 1737=1737 AND 'pQMi'=
浏览 4提问于2013-09-06得票数 3
回答已采纳
我需要知道SQL注入是如何记录在日志文件中的。换句话说，我需要一个包含SQL注入的web日志文件条目的示例。另一个问题:是先记录日志文件，还是先在数据库中执行查询？谢谢
浏览 11提问于2012-03-10得票数 1
我正在编写一个快速的web.py应用程序并从web.input获取数据..。
import web
urls = (
'/', 'something',
)
app = web.application(urls, globals())
db = web.database(dbn='postgres', db='database', user='username', password='password', host='127.0.0.1')
class something:
浏览 6提问于2011-12-09得票数 2
回答已采纳
我整个星期都在努力学习Java EE。我正在使用Restlet2.0、Spring、Hibernate和Maven通过Netbeans 7.2构建REST api。现在，每当我进行试图将数据持久化到数据库的服务调用时，下面的方法都会抛出一个NullPointerException
@Override
public void save(T object) {
entityManager.persist(object);
}
从代码中可以看出，下面这段代码将注入entityManager
protected EntityManager entityManager;
@Persistenc
浏览 1提问于2012-09-28得票数 0
1回答
我在我的web应用程序中使用了Ninject，作为其中的一部分，我需要在一个驻留在独立程序集中的UrlHelper扩展方法中进行一些注入。我甚至无法获得对内核的静态引用，因为很明显，库程序集不能(也不应该)引用我的web应用程序。我知道静态类不能很好地与DI一起工作，但是因为我需要使用UrlHelper，所以它使事情变得有点复杂。我该如何重新设计它呢？如果您需要查看任何代码或需要更多信息，请让我知道。
浏览 0提问于2012-01-03得票数 1
回答已采纳
1回答
SQL注入攻击由攻击者将有效的SQL放入从页面返回到服务器的文本中；类似于"Delete * from tblAccounts where 1=1“，我无法理解的是，为什么不能通过授予web用户的帖子作为只读权限运行的帐户来阻止这种攻击。不仅如此，只在你想让他读的表上读，而且不能访问任何其他的表。在过去，可以在数据库中授予非常细粒度的权限，直到行级别。
浏览 0提问于2015-05-27得票数 0
2回答
我想找到一个最佳的方式来减轻SQL注入在CodeIgniter框架开发的web应用程序(web应用程序使用MS SQL后端数据库与ODBC连接)。
让我们假设我有一个简单易受攻击的代码，如下所示：
$this->db->query("SELECT * FROM users WHERE Login = '".$_GET['name']."'");
此查询显然容易受到通过HTTP GET参数"name“进行的SQL注入的攻击。
我已经阅读了CodeIgniter文档和我可以在网上找到的所有内容，以了解如何在Code
浏览 3提问于2017-06-09得票数 2
我必须在initApplicationContext web服务上注入ContextCacheRefresh bean，但是不成功，initApplicationContext值总是为null。有谁想办法处理这件事吗？
@ManagedBean(name = "initApplicationContext", eager = true)
@ApplicationScoped
public class InitApplicationContext {
.......................
}
和web服务
浏览 2提问于2015-02-03得票数 3
回答已采纳
我有一些使用易受SQL注入攻击的PHP应用程序的经验，并成功地利用了这种漏洞，但从未尝试在基于ASP的web应用程序上这样做。当我们试图找出PHP应用程序是否容易受到SQL注入的攻击时，通常会在输入参数的末尾添加一个单引号，如下所示：
http://example.com/index.php?id=1'
如果我们遇到这样的错误：
您的SQL语法出现错误；请检查与您的MySQL服务器版本对应的手册，以获得在第1行“”附近使用的正确语法。
我们知道它很脆弱。在某些情况下，我们会得到一个空白页或页面上缺少一些数据，这可能意味着它易受攻击。
下面是我的问题:如果我在一个典型的ASP网页的输入参
浏览 0提问于2017-11-19得票数 1
回答已采纳
2回答
注入
的定义
SQL注入是一种代码注入技术，用于攻击数据驱动的应用程序，其中恶意SQL语句被插入入口字段以执行(例如将数据库内容转储给攻击者)。
SQL注入如何影响AndroidO.S
安卓应用程序中使用的SQLite是功能齐全的数据库，因此就像Server或MySQL框一样，它们也容易受到SQL注入的影响。SQL注入通常通过将数据添加到查询字符串或在表单字段中添加数据来工作；允许黑客访问数据库或未经授权的登录。SQL注入通常用于攻击Web视图或web服务，但也可用于攻击活动。
SQL注入漏洞的根本原因是使用动态或连接SQL查询。如果SQL查询是通过连接用户提供的输入来构造的，则用户可以提供
浏览 0提问于2015-05-22得票数 2
在不深入底层平台的情况下，是否有有效的方法来保护web服务器免受SQL注入的影响？有什么特殊的Apache模块或配置吗？fail2ban在这里合适吗？
浏览 0提问于2019-10-23得票数 0
2回答
显然，通过消息的有效负载进行SQL注入是一种非常常见的做法，因此它始终是解决这一问题的关键(我已经在我的代码中)。但是，我只是想知道通过URL进行SQL注入的可能性有多大，以及作为SQL注入的实际方法这是否可行。
我将给出一个URL示例，以更好地详细说明我的问题。如果我有这样的URL，其中包含用于注入的SQL语句作为它的值(请注意，'SELECT‘可以是任何SQL查询)：
https://testurl.com:1234/webservicename?parameter=SELECT
我想知道这是否是有效的方法，在试图注入所需web服务的后端方面，这对黑客真的有效吗?如果是的话，什么是
浏览 0提问于2015-03-24得票数 0
1回答
SQL程序集和SQL注入
、、、
我有几个SQL CLR项目作为程序集添加到我的SQL Server2005中。它们是通过存储过程从我的web应用程序中访问的，这些存储过程触发了程序集。
在我的SQL程序集中防止SQL注入的最佳实践是什么？
这些程序集有一堆构建疯狂SQL语句的代码(示例)：
sqlBuff.Append("SELECT ");
// Always put replicate weight values on the first.
sqlBuff.Append(colBuff.ToString());
sqlBuff.Appen
浏览 3提问于2012-11-30得票数 3
回答已采纳
我正在将我的Rails应用程序升级到5.2.3
我在我的应用程序中使用了以下代码。
MyModel.order('LOWER(name) ASC')
它引发以下反对意见警告：
DEPRECATION WARNING: Dangerous query method (method whose arguments are used as raw SQL) called with non-attribute argument(s): "LOWER(name)". Non-attribute arguments will be disallowed in Rails 6
浏览 0提问于2019-06-22得票数 10
回答已采纳
3回答
可能重复：
有人知道web应用程序中没有SQL注入漏洞的一个好例子吗？该攻击的用户输入是什么？我正在寻找一个真正的弱点，而不是猜测。下面的图片是一个推测攻击的例子。
浏览 4提问于2010-04-26得票数 2
回答已采纳
我正在用VB.Net构建一系列web服务
每个web服务都接受多个字符串值，执行一些验证/处理，然后使用Linq to SQL调用存储过程。其中一些字符串包含存储在数据库中的用户数据：
这些从web服务传递的字符串值被转义以捕获单引号字符、分号和各种括号类型。
我使用datacontext.spname(parameter1，parameter2)方法调用SP。
目标是确保web服务尽可能地具有弹性，同时仍然具有良好的性能。
我是否做了足够的工作来防止SQL注入攻击？
浏览 3提问于2009-07-12得票数 1
回答已采纳
我刚刚从本文( @Resource )中读到了关于的注释，希望在Tomcat6.0.26和Spring3.0.3上使用它。
但是它不起作用-- Users类中的字段Users没有初始化，当我尝试进行查询时，我得到了NullPointerException。
文件src/org/example/db/Users.java
package org.example.db;
import javax.sql.DataSource;
import javax.annotation.Resource;
@Repository
public class Users {
@Resource privat
浏览 1提问于2010-09-27得票数 0
回答已采纳
5回答
有人知道web应用程序中没有SQL注入漏洞的一个好例子吗？该攻击的用户输入是什么？我正在寻找一个真正的弱点，而不是猜测。以下是对车牌读取摄像机进行推测攻击的示例：
📷
当然还有很好的老鲍比桌子。这很有趣，但也不现实。最明显的违规之一是绝大多数sql注入无法使用查询堆栈。
📷
浏览 0提问于2011-05-19得票数 10
7回答
我正在收紧我的web应用程序，现在我正在使用SQL。我已经有了sql参数、双撇号、剥离javascript和编码html。除了上面的事情，我还需要担心其他事情吗？
浏览 0提问于2009-09-01得票数 3
回答已采纳
5回答
这里的初学者：
在这个中，关于如何将数据插入Server的问题，他提到了传递参数，而不是像我现在这样的字符串连接。
这对保安真的有必要吗？如果是这样的话，传递参数到底是什么？当我搜索它的时候，我得到了很多关于存储过程的信息。这就是我想要的，我不知道存储的procedures....yet。
如果你能指出正确的方向，我会很感激的。
谢谢。
编辑：
好的，这是我得到的。它似乎正确地更新了数据库，最终我将把硬编码的ints更改为标签中的输入。请确认我是如何做到这一点的，不容易受到任何sql注入或黑客攻击。
using System;
using System.Collections.Generic;
浏览 3提问于2010-07-09得票数 13
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM活动推荐
腾讯云开发者
