❶ 如何徹底防止sql注入
1、對，限制用戶輸入肯定有效
2、應該也可以做到，但正則不是一種高效的方法，用HtmlEncode的方法可以有效防止空格等被DBMS解釋，但注意別把編碼、解碼搞反了；存儲過程是DBMS執行的一段程序，把數據操縱交給存儲過程執行，而不是提交SQL語句，可以有效防止SQL注入。
3、地址欄的Sql攻擊，下面我引用了一段資料解釋，他關於機制說的較清楚，關於解決，只是從客戶端考慮的，實際上用存儲過程等都可以防範。
資料：
首先，入侵者會對一個網站確定可不可以進行注入，假設一篇文章的地址為：http://www.naohou.cn/show.asp?id=325一般會以提交兩個地址來測試，如：
http://www.naohou.cn/show.asp?id=325 and 1=1
http://www.naohou.cn/show.asp?id=325 and 1=2
第一個地址後面加了 and 1=1，構成的SQL語句也就變為了：Select * from 表單名 where id=1 and 1=1這句話要成立就必須and前後語句都成立。那麼前面的文章地址是可以訪問的，後面的1=1也是客觀成立的，那麼第一個地址就可以正常顯示；相反1=2是顯然不成立的，關鍵就看這步了，如果提交and 1=2頁面還是正常顯示說明他並沒有將and 1=2寫入SQL語句，此站也就不存在注入漏洞；但如果提交and 1=2之後返回了錯誤頁面則說明此站點將後面的語句帶入了SQL語句並執行了，也就說明他可以進行SQL注入。（註：如果地址後面跟的是news.asp?id='1'就得變為news.asp?id=1' and '1'='1來補全引號了）
那麼，知道可以注入後入侵者可以做什麼呢？
這里就簡單的說一下，比如提交這樣的地址：
http://www.naohou.cn/show.asp?id=325 and exists (select * from 表名 where 列名=數據)
根據返回的正確或錯誤頁面來判斷猜的表名和列名是否正確，具體實現時是先猜表名再猜列名。當猜出表名和列名之後還可以用ASC和MID函數來猜出各列的數據。MID函數的格式為：mid(變數名,第幾個字元開始讀取,讀取幾個字元)，比如：mid(pwd,1,2)就可以從變數pwd中的第一位開始讀取兩位的字元。ASC函數的格式為：ASC（"字元串"），如：asc("a")就可以讀出字母a的ASCII碼了。那麼實際應用的時候就可以寫為：asc(mid(pwd,1,1))這樣讀取的就是pwd列的第一個字元的ASCII碼，提交： asc(mid(pwd,1,1))>97以返回的頁面是否為正確頁面來判斷pwd列的第一個字元的ASCII碼是否大於97（a的ASCII碼），如果正確就再試是否小於122（z的ASCII碼）……這樣慢慢縮小字元的ASCII碼的范圍，猜到真實的ASCII碼也只是時間的問題。一位一位的猜就可以得到資料庫中的用戶名和密碼了。還有一種ASP驗證缺陷——就是用戶名和密碼都輸'or '1'='1，構造SQL語句Select * form 表單名 where username='' or '1'='1' and pwd='' or '1'='1'就可以達到繞過密碼驗證的目的。
說了那麼多，其實防範的方法很簡單，我們把特殊字元（如and、or、'、"）都禁止提交就可以防止注入了。ASP傳輸數據分為get和post兩種， get是通過將數據添加到URL後提交的方式，post則是利用郵寄信息數據欄位將數據傳送到伺服器。
❷ 輕松三步走！防止MSSQL資料庫注入攻擊
風靡全球的SQL注入攻擊，相信給很多人留下了深刻的印象，但是在這場攻擊過後，筆者查閱了網上目前修補SQL注入的方法，發現裡面都是一些「雜亂無章」的修補代碼，對於不會編程的站長們來說，簡直是「鴨子看閃電等於白看」!不如使用一下「SQL防注入系統」，輕松解決您網站所存在的注入漏洞吧!
小知識:SQL注入是從正常的WWW埠訪問，而且表面看起來跟一般的Web頁面訪問沒什麼區別，所以目前市面的防火牆都不會對SQL注入發出警報。如果管理員沒查看IIS日誌的習慣，可能被入侵很長時間都不會發覺，要想自己開始就不被他人所注入，請跟著筆者三步來走。
一、工欲善其事，必先利其器
SQL注入攻擊，雖然俗稱「有洞必入、有孔必鑽」!但是面對SQL防注入系統，鐵一般堅硬的「防盾盔甲」，這種注入式攻擊就會失去，傳說中的入侵效果，從而可以還大家一片難得的安寧!
軟體名稱:SQL通用防注入系統
軟體版本:3.0
軟體大小:12 KB
軟體性質:免費軟體
應橡芹用平台:Windows 9X/NT/2000/XP
小提示:當我們要對自己網站程序做SQL防注入時，需要從網上將SQL防注入系統工具，下載到本地，裡面壓縮包內含有三個文件，依次排列名為Neeao_SqlIn.Asp文件，是防SQL注入攻擊的主文件程序，其次Neeao_sql_admin.asp文件，是防止網站後台泄密的管理文件，最後一個SQLIN.mdb是資料庫表文件，只是起到連接其兩個數據文件的作用。
為了後台管理員密碼不為弱口令，請打開裝有SQL防注入軟體的文件夾，找到其目錄下的Neeao_sql_admin.asp後台管理文件，並且以記事本形式將它打開，然後便於修改其目前的弱口令密碼，單擊「編輯」菜單→「查找」選項，打開「查找」對話框，在裡面的文本標簽內，輸入neeao的關鍵字，單擊「查找下一個」按鈕，就會在代碼文本內，選中當前後台的弱口令密碼(如圖1)，將其替換成自己覺得較為復雜的密碼。操作完畢後，單擊「文件」菜單，選擇「保存」選項，自己所設置的後台密碼，即可修改成功。
二、網站上傳，讓防注入程序監守崗位
如梁絕畢果想網站不含有SQL注入漏洞，這里請將自己的網站空間打開，然後將剛才修改的Neeao_sql_admin.asp文件，以及其同程序內自帶的兩個文件，一並上傳到含有漏洞的網站目錄里，而後以記事本或者WEBSHELL的形式，分別打開網站的所有頁面，筆者這里WEBSHELL的形式打開，並且將其防注入
這句代碼替換成每個頁面的代碼開頭部分(如圖2)。保宏悄存以後，SQL注入漏洞就會立即一去不復返!如果你覺得在每個網站頁面插入，防止注入的代碼有些麻煩，可以在網站資料庫的連接文件中，插入以上所提供的防止代碼，也可達到整站防止SQL注入的效果。
三、結束語
從筆者「輕松防注」的網站經歷中，大家不難發現只要將「SQL防注入系統」運用得當，無需掌握高深的編程修補技術，也同樣可以阻止住SQL注入的再次攻擊。所以說本文提供的方法，是新手站長們的安全福音，一點都不為過。
❸ SQL注入防禦：用三種策略應對SQL注入攻擊[2]
* Microsoft安全部門（The Microsoft Security Development Lifecycle SDL）對SQL注入的防禦進行了一些指導 簡單來說有三種策略來應對SQL注入攻擊
使用SQL參數查詢
使用存儲過程
使用SQL僅執行（execute only）許可
同時 編寫安全的代碼（第二版）也指導了如何防禦此類攻擊
* 減輕SQL注入 使用參數查詢（第一部分和第二部分） 使用參數化查詢的好處是它將執行的代碼（例如SELECT語句）和數據（由程序使用者提供的動態信息）分開 該途徑防禦了通過用戶傳遞來執行的惡意語句
在經典ASP代碼中過濾SQL注入（或者黑名單中的字元） 我們將如下的工作認為是實際中臨時性的解決方案 因為它治標不治本 （例如 代碼仍然是有漏洞的 他仍然可能被繞過過濾機制而被訪問到）
如果你仍然不了解從哪裡開始 所有使用特定ASP代碼訪問資料庫 尤其是使用由用戶提供的數據的代碼應當首先被檢測
lishixin/Article/program/SQL/201311/16221
❹ 防止sql注入的最佳方式
1、利用第三方軟體加固，監控所有傳入的字元串
2、網上有很多防SQL注入代碼，引入到網頁的每一個需要傳值頁里
3、對於每一個傳值，進行數據類型、長度、規則等判斷，比如傳入ID=1，你要判斷ID里的是不是數字，且不會超過多少位，如果不滿足條件就做其它處理
通常就這三種方法
❺ 對於 SQL 注入攻擊的防禦，可以採取哪些措施（）
對於 SQL 注入攻擊的防禦，可以採取哪些措施?（）
A 對表單里的數據進行驗證與過濾，在實際開發過程中可以單獨列一個驗證函數， 該函數把每個要過濾的關鍵詞如 select、1=1 等都列出來，然後每個表單提交時都 調用這個函數(正確答案橋州)
B 不要把機密信息直接存放，加密或者 Hash 掉密碼和敏感的信息(正確答案差消派)
C 不要使用動態拼裝虛賀 sql，可以使用參數化的 sql 或者直接使用存儲過程進行數據查 詢存取(正確答案)
D 不要使用管理員許可權的資料庫連接，為每個應用使用單獨的許可權有限的資料庫連接(正確答案)
❻ 針對sql注入攻擊，有哪些防範措施
SQL注入攻擊的危害很大，而且防火牆很難對攻擊行為進行攔截，主要的SQL注入攻擊防範方法，具體有以下幾個方面。
1、分級管理
對用戶進行分級管理，嚴格控制用戶的許可權，對於普通用戶，禁止給予資料庫建立、刪除、修改等相關許可權，只有系統管理員才具有增、刪、改、查的許可權。
2、參數傳值
程序員在書寫SQL語言時，禁止將變數直接寫入到SQL語句，必須通過設置相應的參數來傳遞相關的變數。從而抑制SQL注入。數據輸入不能直接嵌入到查詢語句中。同時要過濾輸入的內容，過濾掉不安全的輸入數據。或者採用參數傳值的方式傳遞輸入變數，這樣可以最大程度防範SQL注入攻擊。
3、基礎過濾與二次過濾
SQL注入攻擊前，入侵者通過修改參數提交and等特殊字元，判斷是否存在漏洞，然後通過select、update等各種字元編寫SQL注入語句。因此防範SQL注入要對用戶輸入進行檢查，確保數據輸入的安全性，在具體檢查輸入或提交的變數時，對於單引號、雙引號、冒號等字元進行轉換或者過濾，從而有效防止SQL注入。
當然危險字元有很多，在獲取用戶輸入提交參數時，首先要進行基礎過濾，然後根據程序的功能及用戶輸入的可能性進行二次過濾，以確保系統的安全性。
4、使用安全參數
SQL資料庫為了有效抑制SQL注入攻擊的影響。在進行SQLServer資料庫設計時設置了專門的SQL安全參數。在程序編寫時應盡量使用安全參數來杜絕注入式攻擊，從而確保系統的安全性。
5、漏洞掃描
為了更有效地防範SQL注入攻擊，作為系統管理除了設置有效的防範措施，更應該及時發現系統存在SQL攻擊安全漏洞。系統管理員可以采購一些SQL漏洞掃描工具，通過專業的掃描工具，可以及時的掃描到系統存在的相應漏洞。
6、多層驗證
現在的網站系統功能越來越龐大復雜。為確保系統的安全，訪問者的數據輸入必須經過嚴格的驗證才能進入系統，驗證沒通過的輸入直接被拒絕訪問資料庫，並且向上層系統發出錯誤提示信息。同時在客戶端訪問程序中驗證訪問者的相關輸入信息，從而更有效的防止簡單的SQL注入。但是如果多層驗證中的下層如果驗證數據通過，那麼繞過客戶端的攻擊者就能夠隨意訪問系統。因此在進行多層驗證時，要每個層次相互配合，只有在客戶端和系統端都進行有效的驗證防護，才能更好地防範SQL注入攻擊。
7、資料庫信息加密
傳統的加解密方法大致分為三種：對稱加密、非對稱加密、不可逆加密。
❼ 關於防止sql注入的幾種手段
所謂SQL注入，就是通過把SQL命令插入到Web表單提交或輸入域名或頁面請求的查詢字元串，最終達到欺騙伺服器執行惡意的SQL命令。具體來說，它是利用現有應用程序，將（惡意）的SQL命令注入到後台資料庫引擎執行的能力，它可以通過在Web表單中輸入（惡意）SQL語句得到一個存在安全漏洞的網站上的資料庫，而不是按照設計者意圖去執行SQL語句。比如先前的很多影視網站泄露VIP會員密碼大多就是通過WEB表單遞交查詢字元暴出的，這類表單特別容易受到SQL注入式攻擊．
防護
歸納一下，主要有以下幾點：
1.永遠不要信任用戶的輸入。對用戶的輸入進行校驗，可以通過正則表達式，或限制長度；對單引號和
雙"-"進行轉換等。
2.永遠不要使用動態拼裝sql，可以使用參數化的sql或者直接使用存儲過程進行數據查詢存取。
3.永遠不要使用管理員許可權的資料庫連接，為每個應用使用單獨的許可權有限的資料庫連接。
4.不要把機密信息直接存放，加密或者hash掉密碼和敏感的信息。
5.應用的異常信息應該給出盡可能少的提示，最好使用自定義的錯誤信息對原始錯誤信息進行包裝
6.sql注入的檢測方法一般採取輔助軟體或網站平台來檢測，軟體一般採用sql注入檢測工具jsky，網站平台就有億思網站安全平台檢測工具。MDCSOFT SCAN等。採用MDCSOFT-IPS可以有效的防禦SQL注入，XSS攻擊等。
❽ SQL注入最有效的防禦方式是什麼
注入方式：ql注入，就是通過把sql命令插入到web表單遞交或輸入域名或頁面請求的查詢字元串，最終達到欺騙伺服器執行惡意的sql命令。防禦：如果是.net的後台
比如sql語句是
id='"+
textbox.text
+"'
就會被注入,
如果[email protected]("@id",textbox.text)
這樣就可以。用replace把單引等特殊字元替換也行
❾ 怎樣防止sql注入
可以使用變數綁定的方式就可以防止sql注入，如果是直接拼接的方式那麼就非常容易被注入。比如：select * from tablename where user='admin' and pwd ='123' 假設說這個是一個登錄的sql語句，admin是用戶文本框輸入的，pwd是密碼框輸入的。如果密碼文本框如果輸入：' or '1'='1 那麼拼接起sql就是select * from tablename where user='admin' and pwd ='' or '1'='1' 那麼就會跳過sql的條件就直接進入登錄，但是如果是使用綁定變數的就不一樣
如下：
select * from tablename where user=@user and pwd =@pwd
@user=admin
@pwd=123
這樣的話不管user和pwd傳入的是什麼內容都被sql server識別成字元串而不是直接拼接在sql 語句上。
❿ 如何防止SQL注入漏洞
1、過濾掉一些常見的資料庫操作關鍵字：select,insert,update,delete,and,*等
或者通過系統函數：addslashes(需要被過濾的內容)來進行過濾。
2、在PHP配置文件中
Register_globals=off;設置為關閉狀態 //作用將注冊全局變數關閉。
比如：接收POST表單的值使用$_POST['user'],如果將register_globals=on;直接使用$user可以接收表單的值。
3、SQL語句書寫的時候盡量不要省略小引號(tab鍵上面那個)和單引號
4、提高資料庫命名技巧，對於一些重要的欄位根據程序的特點命名，取不易被猜到的
5、對於常用的方法加以封裝，避免直接暴漏SQL語句
6、開啟PHP安全模式
Safe_mode=on;
7、打開magic_quotes_gpc來防止SQL注入
Magic_quotes_gpc=off;默認是關閉的，它打開後將自動把用戶提交的sql語句的查詢進行轉換，把'轉為\'，這對防止sql注入有重大作用。
因此開啟：magic_quotes_gpc=on;
8、控制錯誤信息
關閉錯誤提示信息，將錯誤信息寫到系統日誌。
9、使用mysqli或pdo預處理