MS SQL注射：歹意攻击危害你的数据库

MS SQL注射是一种歹意攻击技术，它可以允许攻击者从无需登录的情况下控制公然的数据库。 MS SQL(Microsoft SQL Server)注射攻击的危害性非常高，可以造成严重的损失。数据库注射攻击通常为攻击者通过在数据库输入歹意的查询来访问数据库具有者帐户，或履行一些歹意操作。

MS SQL注射可以产生在未做正确传入参数验证的Web利用程序中。这意味着攻击者可以通过发送歹意的输入来触发各种操作，而无需输入正确的用户名和密码就能够访问数据库。下面是一段可能的歹意代码：

“` sql

DECLARE @S varchar(8000);

SET @S=CAST(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

for

XML PATH (”),TYPE).value(‘.’,’varchar(max)’));

EXEC (@S);

在未对输入参数进行过滤的情况下，上述代码将会被履行，致使攻击者可以被授与足够的权限来完成各种操作，这类行动是不可接受的。

要避免MS SQL注射攻击，Web开发人员需要采取一些措施来最大程度地下降产生此类攻击的风险。首先，他们应当仅使用安全的存储进程，而不是“Inline SQL”或“Dynamic SQL”。其次，应当对输入数据进行格式验证，以确保其不包括歹意内容，包括SQL注入代码。最后，应使用角色来限制用户的数据库访问权限，以减少攻击者具有的权限并减少要挟。

总而言之，MS SQL注射是一个严重的要挟，可以严重破坏Web利用程序的安全性和数据完全性。为了避免此类攻击，Web开发人员需要采取一些步骤，以确保他们的代码可以有效地避免产生攻击事件。

本文来源：https://www.yuntue.com/post/84801.html | 云服务器网，转载请注明出处！