|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
要防御SQL注入，用户的输入就不能直接被嵌入到SQL语句中，必须经过过滤，或者使用参数化的语句。参数化的语句使用参数而不是将用户输入嵌入到语句中。在多数情况中，SQL语句就得以修正。例如，在ASP.NET程序中：
|
|
|
|
|
|
|
|
（2）在程序出现错误或异常时，要避免出现一些详细的错误或异常消息，因为这些信息会为攻击者带来方便。
|
|
|
|
（3）在Web应用程序开发过程的所有阶段实施代码的安全检查。首先，要在部署Web应用之前实施安全测试，其次，企业还应当在部署之后用漏洞扫描工具和站点监视工具对网站进行测试。
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
在Web服务中，一般采用三层架构模式：浏览器+Web服务器+数据库。其中，Web脚本程序负责处理来自浏览器端提交的信息，如用户登录名和密码、查询请求等。但是，由于Web脚本程序的编程漏洞，对来自浏览器端的信息缺少输入安全合法性检查，网络攻击者利用这种类型的漏洞，把SQL命令插入Web表单的输入域或页面的请求查找字符串，欺骗服务器执行恶意的SQL命令。
|
|
|
|
|
|
|
|
|
|
|
|
|
