mySql注入攻击

注入攻击

　　1.原理:

　　　　　　a.只要是带有参数的动态网页且此网页访问了数据库&＃xff0c;那么就有可能存在SQL注入;

　　　　　　b.字符串拼接和没有判断用户输入是否合法------>导致用户可以玩填字游戏----->SQL注入攻击会导致的数据库安全风险包括:刷库、拖库、撞库。

　　2.简单解决方法:

　　　　　　预防字符串拼接---->可以使用变量绑定避免注入攻击.

　　　　　   以查询语句为例:

　　　　　　正确输入名称与密码　　　

　　　　　　　　　　　　name &＃61; "hello"　　password &＃61; "wangergou"

　　　　　　　　　　　　"select price from houses where name &＃61; %s and paswd &＃61; %s"%(name,password)

　　　　　　非法输入名称与密码

　　　　　　　　　　　　name &＃61; "&＃39;&＃39; a&＃39; or 1&＃61;1 or (&＃39;1&＃39;&＃61;&＃39;1&＃39; "　　password &＃61; " &＃39;abc&＃39;) or &＃39;1&＃39;&＃61;&＃39;1&＃39; "

　　　　　　　　　　　　"select price from houses where name &＃61; %s and paswd &＃61; %s"%(name,password)

　　　　　　　　　　　　"select price from houses where name &＃61;&＃39; a&＃39; or 1&＃61;1 or (&＃39;1&＃39;&＃61;&＃39;1&＃39; and paswd &＃61; &＃39;abc&＃39;) or &＃39;1&＃39;&＃61;&＃39;1&＃39; 

　　　　　　解决方式:  "select price from houses where name &＃61; %s and paswd &＃61; %s",name,password　　　　----->Tornado 框架中使用的版本