SQL Injection 攻擊與防禦
閱讀時間約 3 分鐘
假如你開發了一個網站，有user登入的功能，駭客故意輸入SQL語法來破壞原本的SQL結構，這就是SQL注入攻擊。
以下直接用程式碼來了解:
想像L28, 29是user輸入的帳號密碼，在正常情況下可以成功查出這個user。
正常情況下SQL長這樣:
SELECT * FROM user where account = 'abc' and password = '123'
SELECT * FROM user where account = 'abc' and password = '123'
現在我把程式碼L29改成這樣:
結果還是一樣成功找出這個user了!
因為現在SQL變成這樣了:
SELECT * FROM user where account = 'abc' and password = 'xxx' or '1'='1'
SELECT * FROM user where account = 'abc' and password = 'xxx' or '1'='1'
雖然沒有密碼是xxx的，但是'1'='1'是成立的，因此這個table資料就被撈出來了!
一般登入驗證成功後，可能不會把帳密撈出來，但是駭客透過這種方式還是可以登入成功，雖然不知道你的密碼。
這個攻擊的示範還只是把資料抓出來而已，那如果是下delete呢?
一般登入驗證成功後，可能不會把帳密撈出來，但是駭客透過這種方式還是可以登入成功，雖然不知道你的密碼。
這個攻擊的示範還只是把資料抓出來而已，那如果是下delete呢?
防禦SQL Injection:
1. 將user輸入的SQL關鍵字select or ' " 等等字元過濾。
1. 將user輸入的SQL關鍵字select or ' " 等等字元過濾。
2. 資料庫中儲存加密後的密碼，後端接收到user輸入的密碼後，先進行密碼加密，再組select SQL來驗證是否資料比對成功。
3. 將資料庫不必要的權限拔除，例如把drop table權限拿掉、不需要delete的table就不要grant權限給該db user。
4. 程式使用Prepared statement bind params的方式來下SQL:
將程式碼改成這樣:
可以發現雖然L29被sql injection，但是卻沒撈出結果。
利用L38把最後執行的SQL print出來可以發現，最終執行的SQL是這樣:
SELECT * FROM user where account = 'abc' and password = 'xxx\' or \'1\'=\'1'
利用L38把最後執行的SQL print出來可以發現，最終執行的SQL是這樣:
SELECT * FROM user where account = 'abc' and password = 'xxx\' or \'1\'=\'1'
因為bindParam幫我們把單引號跳脫掉了，因此避開了SQL Injection攻擊。
5. 使用ORM
本筆記參考:
1. https://www.itread01.com/content/1549607942.html
2. https://medium.com/%E7%A8%8B%E5%BC%8F%E7%8C%BF%E5%90%83%E9%A6%99%E8%95%89/%E6%B7%BA%E8%AB%87%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A-%E7%B6%B2%E7%AB%99%E5%AE%89%E5%85%A8-%E4%B8%80%E6%AC%A1%E7%9C%8B%E6%87%82-sql-injection-%E7%9A%84%E6%94%BB%E6%93%8A%E5%8E%9F%E7%90%86-b1994fd2392a
1. https://www.itread01.com/content/1549607942.html
2. https://medium.com/%E7%A8%8B%E5%BC%8F%E7%8C%BF%E5%90%83%E9%A6%99%E8%95%89/%E6%B7%BA%E8%AB%87%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A-%E7%B6%B2%E7%AB%99%E5%AE%89%E5%85%A8-%E4%B8%80%E6%AC%A1%E7%9C%8B%E6%87%82-sql-injection-%E7%9A%84%E6%94%BB%E6%93%8A%E5%8E%9F%E7%90%86-b1994fd2392a
為什麼會看到廣告
21會員
161內容數
留言0
查看全部
你可能也想看
Google News 追蹤
徵的就是你 🫵 超ㄅㄧㄤˋ 獎品搭配超瞎趴的四大主題，等你踹共啦！還有機會獲得經典的「偉士牌樂高」喔！馬上來參加本次的活動吧！
隨著理財資訊的普及，越來越多台灣人不再將資產侷限於台股，而是將視野拓展到國際市場。特別是美國市場，其豐富的理財選擇，讓不少人開始思考將資金配置於海外市場的可能性。
然而，要參與美國市場並不只是盲目跟隨標的這麼簡單，而是需要策略和方式，尤其對新手而言，除了選股以外還會遇到語言、開戶流程、Ap
本文探討 SQL 注入（SQL Injection）的攻擊原理及其防護措施。透過具體範例，解釋駭客如何利用應用程式漏洞進行資料庫攻擊，並提供有效的防範方法，包括使用參數化查詢、ORM 框架和輸入驗證等技術，確保應用程式的安全性。最後還簡介資料庫分區與分片的概念，讓讀者更全面理解如何管理和保護資料庫。
※ 把record加到table有兩種方式：
VALUES
• SELECT
※ 語法
INSERT INTO VALUES 語法：
Record 代表一組值的集合，每個值對應到表格中的一個欄位（column）。
INSERT INTO 語法用來指定要插入資料的表格。
需要提供一個
「Prompt hacking」與利用軟件漏洞的傳統駭客方法不同，Prompt hacking 是使用精心設計的提詞工程，並利用大型語言模型（Large Language Models, LLM）中的漏洞，使它們執行意外的操作或透露敏感信息。
如果MySQL忘記密碼，可以使用修改cnf檔案免去登入驗證，再進入MySQL重新設定密碼的方式，找回密碼，另外還附上有一般修改密碼的方式。
在這個星光閃爍的數據宇宙中，SQL是一把鑰匙，開啟了通往知識寶庫的大門。想像一下，每一條SELECT語句都像是一段魔法咒語，喚醒沉睡在數據庫深處的信息。今天，我們就要一起踏上這段探秘之旅，將揭開SQL基本查詢指令的神秘面紗，學習如何巧妙地與數據對話。
在工作情境中手動執行SQL語法更新中文字時，有時會遇到中文字顯示問號(?)的情況。這篇文章將介紹如何解決手動執行SQL語法時造成中文顯示問號(?)的方法。
描述我所瞭解的 Web 攻擊技術
何謂網路攻擊？
駭客透過各種系統漏洞或惡意程式，搭配許多技術和工具進行攻擊。目標是要在企業或個人電腦網路中損害、取得控制權或存取重要的文件和系統。
例如：
XSS（Cross-Site Scripting，跨站腳本攻擊/跨網站指令碼）：指網路罪犯透過存在安全
發送表單用get跟post看起來好像都無所謂，然而事實並非如此，使用GET的風險如下：
安全性問題
機密資訊為何不宜用GET，是因為由GET方法提交的表單會將欄位的key,value顯示於URL上，想像一下如果小明借用你的電腦，查看你的網頁歷史紀錄時就可以看到你的帳密了，多可怕！
再來就是如果
※ 基本操作：SQL 語法，SELECT, WHERE, CREATE, UPDATE, DELETE。
SELECT：從資料庫中或資料表中指定要選擇的欄位中取得資料，稱之為查詢 (query)。
※ 語法：要由兩部分構成，第一部分是要 "拿什麼" 資料 (若有多項用逗號隔開)；第二部分則為
假網站攻擊近10年一直是全球銀行業的頭痛問題，過去發卡機構也致力去防止因為日漸盛行的網上購物而引發的騙財技倆。
有一定年資的網購使用者，對於使用保安編碼器會有點印象，但成本太高，而且每天要帶着外出也十分不便(也容易出現遺失的風險)，近年智能手機普及，很多銀行已經轉用mobileapp作為主要保安編
徵的就是你 🫵 超ㄅㄧㄤˋ 獎品搭配超瞎趴的四大主題，等你踹共啦！還有機會獲得經典的「偉士牌樂高」喔！馬上來參加本次的活動吧！
隨著理財資訊的普及，越來越多台灣人不再將資產侷限於台股，而是將視野拓展到國際市場。特別是美國市場，其豐富的理財選擇，讓不少人開始思考將資金配置於海外市場的可能性。
然而，要參與美國市場並不只是盲目跟隨標的這麼簡單，而是需要策略和方式，尤其對新手而言，除了選股以外還會遇到語言、開戶流程、Ap
本文探討 SQL 注入（SQL Injection）的攻擊原理及其防護措施。透過具體範例，解釋駭客如何利用應用程式漏洞進行資料庫攻擊，並提供有效的防範方法，包括使用參數化查詢、ORM 框架和輸入驗證等技術，確保應用程式的安全性。最後還簡介資料庫分區與分片的概念，讓讀者更全面理解如何管理和保護資料庫。
※ 把record加到table有兩種方式：
VALUES
• SELECT
※ 語法
INSERT INTO VALUES 語法：
Record 代表一組值的集合，每個值對應到表格中的一個欄位（column）。
INSERT INTO 語法用來指定要插入資料的表格。
需要提供一個
「Prompt hacking」與利用軟件漏洞的傳統駭客方法不同，Prompt hacking 是使用精心設計的提詞工程，並利用大型語言模型（Large Language Models, LLM）中的漏洞，使它們執行意外的操作或透露敏感信息。
如果MySQL忘記密碼，可以使用修改cnf檔案免去登入驗證，再進入MySQL重新設定密碼的方式，找回密碼，另外還附上有一般修改密碼的方式。
在這個星光閃爍的數據宇宙中，SQL是一把鑰匙，開啟了通往知識寶庫的大門。想像一下，每一條SELECT語句都像是一段魔法咒語，喚醒沉睡在數據庫深處的信息。今天，我們就要一起踏上這段探秘之旅，將揭開SQL基本查詢指令的神秘面紗，學習如何巧妙地與數據對話。
在工作情境中手動執行SQL語法更新中文字時，有時會遇到中文字顯示問號(?)的情況。這篇文章將介紹如何解決手動執行SQL語法時造成中文顯示問號(?)的方法。
描述我所瞭解的 Web 攻擊技術
何謂網路攻擊？
駭客透過各種系統漏洞或惡意程式，搭配許多技術和工具進行攻擊。目標是要在企業或個人電腦網路中損害、取得控制權或存取重要的文件和系統。
例如：
XSS（Cross-Site Scripting，跨站腳本攻擊/跨網站指令碼）：指網路罪犯透過存在安全
發送表單用get跟post看起來好像都無所謂，然而事實並非如此，使用GET的風險如下：
安全性問題
機密資訊為何不宜用GET，是因為由GET方法提交的表單會將欄位的key,value顯示於URL上，想像一下如果小明借用你的電腦，查看你的網頁歷史紀錄時就可以看到你的帳密了，多可怕！
再來就是如果
※ 基本操作：SQL 語法，SELECT, WHERE, CREATE, UPDATE, DELETE。
SELECT：從資料庫中或資料表中指定要選擇的欄位中取得資料，稱之為查詢 (query)。
※ 語法：要由兩部分構成，第一部分是要 "拿什麼" 資料 (若有多項用逗號隔開)；第二部分則為
假網站攻擊近10年一直是全球銀行業的頭痛問題，過去發卡機構也致力去防止因為日漸盛行的網上購物而引發的騙財技倆。
有一定年資的網購使用者，對於使用保安編碼器會有點印象，但成本太高，而且每天要帶着外出也十分不便(也容易出現遺失的風險)，近年智能手機普及，很多銀行已經轉用mobileapp作為主要保安編