目前，大约有2亿个活跃网站，其中很少有仅由互联网早期流行的静态HTML页面组成。大多数现代站点在复杂的Web应用程序和数据库的帮助下处理大量敏感数据。我们很确定我们不会错，说许多网站所有者并不完全了解SQL注入（或SQLi）是什么。

网络安全状况

现代网络安全环境是一个相当复杂的地方。网站攻击的范围比以往任何时候都更广，现在有超过60%的世界人口在互联网上，目标的数量也是如此。作为网站所有者，您的首要任务应该是Web应用程序的安全性。您可能想听听一个名为OWASP的组织怎么说。OWASP代表OpenWebApplicationSecurityProject，是一个由志愿者和专家组成的在线社区，专门帮助网站管理员保护他们的项目。

每年，OWASP的专家都会对管理员需要注意的最普遍的威胁进行排名，并且在很长一段时间内，代码注入一直位居榜首。由于大多数现代网站使用的技术，SQLi是迄今为止最流行的代码注入类型。据安全公司Akamai称，近三分之二的Web应用程序攻击涉及SQL注入。SQLi肯定不是您应该低估的威胁，但是是什么让它如此独特？

什么是SQL注入？

当最终用户与网站交互时，他们会看到一组文本和媒体文件正在排列和显示在屏幕上。幕后还有很多事情要做。基于用户的输入，Web应用程序运行数据库查询以访问正确的资源并显示正确的内容。例如，在您输入登录凭据并点击SignIn后，Web应用程序会获取您的用户名和密码并查询数据库以查看它们是否正确。如果是这种情况-您可以进入您的个人资料。

SQL（结构化查询语言的缩写）是促进这种通信的编程语言。Web应用程序使用它根据用户输入生成数据库查询。在SQL注入场景中，攻击者修改SQL查询以接收来自数据库的特定响应。使用恶意查询，他们可以获得对敏感数据的未经授权的访问或损害您的系统完整性。

SQL注入作为一种攻击媒介早在1998年就被发现了，但根据Acunetix的说法，大约8%的现代网站仍然容易受到它的攻击。此类网站的所有者最好改进他们的配置，因为成功的SQLi攻击会造成很大的破坏。

未经授权访问敏感信息（如登录凭据、支付详细信息和个人数据）可能会对任何在线业务造成灾难性影响。更重要的是，成功的SQL注入可以打开后门，从而促进针对整个组织的复杂攻击。

SQL注入是如何工作的？

与其他形式的网络犯罪不同，SQL注入工具并非在地下黑客论坛和市场上免费提供。自动化流程的选项很少，攻击者需要相对较高的技术技能。至少，黑客必须了解SQL查询的工作原理。

攻击者确定他们的目标。幸运的是，由于威胁如此广为人知，现代Web应用程序通常带有某种形式的内置SQLi保护。对于从头开始构建网站的开发人员，还有一些工具和行业最佳实践。

不幸的是，缺乏标准化和糟糕的补丁管理意味着SQLi易受攻击的网站仍然存在。现代漏洞扫描程序可以快速识别它们。

攻击者制作的查询取决于数据库的类型和数据库管理系统。下一步是对目标进行一些侦察。

启动实际注入。一些SQLi攻击依赖于特定HTTP请求的更改，而在其他情况下，攻击者使用基于Web的表单（例如，登录页面或搜索栏）来修改SQL查询。

例如，黑客理论上可以使用网站的登录表单在不知道管理员密码的情况下获得管理员权限。这是它的工作原理。

通常，当管理员登录时，登录表单生成的SQL查询如下所示：

SELECT*FROMmembersWHEREusername='admin'ANDpassword='[theadminpassword]'

如果攻击者将“admin'-”放入用户名字段并将密码字段留空，则查询将如下所示：

SELECT*FROMmembersWHEREusername='admin'-'ANDpassword=”

'–紧跟在管理员用户名之后会取消查询的其余部分，这意味着数据库根本不会检查密码字段中是否有任何内容。

SQL注入的类型

根据它们产生的结果，您可以识别几种不同类型的SQL注入：

如何防止SQL注入攻击？

SQL注入让黑客有机会绕过身份验证、窃取、修改和破坏数据，运行任意代码，甚至获得对服务器的访问权限。通常，攻击速度很快，管理员通常不会意识到他们已经被击中，直到为时已晚。换句话说，您最好采取必要的步骤来防止SQLi攻击，而不是在黑客已经入侵您的站点后尝试将所有内容重新组合在一起。

不同的项目需要不同的预防技术。例如，使用内容管理系统(CMS)构建网站的管理员不需要手动实施特定的反SQLi措施。CMS开发人员负责确保及时修补漏洞。Тhe网站所有者唯一需要考虑的是在所有更新发布后立即应用它们。

自定义编码网站管理员的工作更具挑战性。没有完全消除威胁的一劳永逸的措施清单。修补漏洞所需的确切步骤取决于您使用的编程语言、SQL数据库引擎以及您尝试修复的SQL漏洞的类型。

您可以遵循一些提示来保护您的网站。

您的托管服务提供商的角色

SQL注入以Web应用程序为目标——严格来说，这不是您选择的托管公司的优先事项。一个好的主机不仅仅是一个服务提供商。它是帮助您保持在线业务持续发展的合作伙伴，因此，它将尽一切努力确保您的网站得到尽可能好的保护。

例如，如果您的项目基于CMS，您可能会拥有一键式安装程序。除了在几秒钟内设置WordPress等应用程序外，该工具还具有核心和附加组件的自动更新功能。

这样，您就不会错过任何重要的安全补丁。一个好的主机将帮助您部署Web应用程序防火墙，并且还将包括一个监控系统，该系统会扫描您的整个主机帐户以查找可疑行为，并在检测到错误时通知您。

尽管SQL注入在20多年前首次出现，但威胁仍然与以往一样重要。2020年5月，美国司法部指控一名黑客使用SQL注入窃取数千条信用卡详细信息和其他个人信息。几个月后，黑客利用SQLi攻击从在线图形资源网站Freepik窃取了超过800万条记录。这是一个严重的威胁，但好消息是，多年来，安全专家已经了解了很多关于SQL注入的知识。基于这些知识，有许多工具和策略可以有效地阻止攻击。由您选择最方便的。