一直以來對網絡安全很感興趣，原來關於SQL注入的攻擊也有一些案例，看了一些相關的書籍，有些自己親手試驗過，（然而良民一個不太敢進行攻擊，每次都是點到爲止），不過自己本身對*客還是很崇拜的。
更多關於SQL注入與防範技術學習視頻請進碼神營地官網：www.icodegod.com
- 注入前準備
１. 攻擊前的準備
1）取消友好的HTTP錯誤信息
2）準備注入的工具
a.SQL注入漏洞掃描器與猜解工具
b.Web木馬後門（冰狐浪子、ASP木馬）
c.注入輔助工具（字符轉換、C/S轉換）
2.尋找注入點
3.判斷注入點類型
1）字符型注入點
2）搜索型注入點
3）數字型注入點
4.判斷目標數據庫類型
1）根據報錯判斷數據庫類型
a.利用數據庫服務器系統變量區分
b.利用系統表
2）根據網站返回錯誤信息判斷數據庫類型
a.返回信息中看到“Microsoft OLE DB Provider for SQL Server 錯誤‘80040e14’”，表明是SQL Server數據庫
b.如果返回“Microsoft JET Database Engine”則爲Access數據庫
- 常見的注入工具
1.啊D注入工具
2.NBSI注入工具
3.Domain注入工具
4.ZBSI注入工具
- 注入攻擊類型（注入工具可選用上述推薦）
1.‘or’='or’注入攻擊
2.未過濾的request.from造成的注入
3.缺失單引號與空格的注入
1）使用delcare和OX6e編碼
2）使用SQLInjectEncode二次編碼
4./**/替換空格的注入
5.Update注入攻擊
1）Buy_UserList未過濾傳遞
2）手工Update提交- SQL注入防護
1.對用戶的輸入數據進行過濾
1）基礎過濾與二次過濾
2）使用SQL通用防注入程序過濾
3）在PHP中對參數進行過濾
2.使用專業的漏洞掃描工具
3.對重要數據進行加密
以上是看完書自己的總結，有太多地方沒有詳細介紹，有興趣的可以自己翻閱資料進行補充。