① 怎么判断一个网站是否有sql注入
许多网站程序在编写时，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些想得知的数据，这就是所谓的SQL Injection，即SQL注入。如何判断网站是否存在POST注入呢！请看以下步骤操作做。
POST注入操作介绍:
1.POST注入一般发生在表单数据传输时、抓取POST提交的数据进行SQL语句测试
POST注入操作流程:
比如抓取的POST数据为:userName=admin&password=admin
测试诸如语句填写:userName=admin&password='admin 1=1--
像这样userName 参数后面加一些SQL语句(注入测试语句)进行POST数据注入测试即可。
② SQL注入漏洞的判断
如果以前没玩过注入，
请把IE菜单-工具-Internet选项－高级－显示友好HTTP错误信息前面的勾去掉。
为了把问题说明清楚，以下以asp?id=xx(" target=_blank>http://www.hackbase.com/news.asp?id=xx(这个地址是假想的)
为例进行分析，xx可能是整型，也有可能是字符串。
1、整型参数的判断
当输入的参数xx为整型时，通常news.asp中SQL语句原貌大致如下：
select * from 表名 where 字段=xx，所以可以用以下步骤测试SQL注入是否存在。
最简单的判断方法
http://www.hackbase.com/news.asp?id=xx’(附加一个单引号)，
此时news.asp中的SQL语句变成了
select * from 表名 where 字段=xx’，
如果程序没有过滤好“’”的话
就会提示 news.asp运行异常；
但这样的方法虽然很简单，但并不是最好的
因为
first,不一定每台服务器的IIS都返回具体错误提示给客户端，
如果程序中加了cint(参数)之类语句的话，SQL注入是不会成功的，
但服务器同样会报错，具体提示信息为处理 URL 时服务器上出错。
请和系统管理员联络。
second，目前大多数程序员已经将“’“ 过滤掉，所以用” ’”测试不到注入点
所以一般使用经典的1=1和1=2测试方法
见下文：
http://www.hackbase.com/news.asp?id=xx and 1=1, news.asp运行正常，
而且与http://www.hackbase.com/news.asp?id=xx运行结果相同；
http://www.hackbase.com/news.asp?id=xx and 1=2, news.asp运行异常；（这就是经典的 1=1 ;1=2 判断方法）
如果以上面满足，news.asp中就会存在SQL注入漏洞，反之则可能不能注入。
2、字符串型参数的判断
方法与数值型参数判断方法基本相同
当输入的参数xx为字符串时，通常news.asp中SQL语句原貌大致如下：
select * from 表名 where 字段='xx'，所以可以用以下步骤测试SQL注入是否存在。
http://www.hackbase.com/news.asp?id=xx’(附加一个单引号)，此时news.asp中的SQL语句变成了
select * from 表名 where 字段=xx’，news.asp运行异常；
http://www.hackbase.com/news.asp?id=xx and '1'='1', news.asp运行正常，
而且与http://www.hackbase.com/news.asp?id=xx运行结果相同；
http://www.hackbase.com/news.asp?id=xx and '1'='2', news.asp运行异常；
如果以上满足，则news.asp存在SQL注入漏洞，反之则不能注入
3、特殊情况的处理
有时ASP程序员会在程序员过滤掉单引号等字符，以防止SQL注入。此时可以用以下几种方法试一试。
①大小定混合法：由于VBS并不区分大小写，而程序员在过滤时通常要么全部过滤大写字符串，要么全部过滤小写字符串，而大小写混合往往会被忽视。如用SelecT代替select,SELECT等；
②UNICODE法：在IIS中，以UNICODE字符集实现国际化，我们完全可以IE中输入的字符串化成UNICODE字符串进行输入。如+ =%2B，空格=%20 等
；URLEncode信息参见附件一；
③ASCII码法：可以把输入的部分或全部字符全部
<4>出了上述方法以外，还有个更简单的方法就是使用现成的工具
像NB联盟的NBSI就是一款很不错的工具，目前最新的版本为2.2
③ 如何判断SQL注入
使用参数!!比如一条查询的sql语句原句:String sql = "select * from where name = 5";改变后:String sql = "select * from where name = @name";然后给@name赋值就可以了.
④ 如何判断数据库被SQL注入漏洞
SQL注入一般会在http://xxx.xxx.xxx/abc.asp?id=XX这样等带有参数的ASP动态网页中，有些动态网页中可能只有一个参数，有些可能有n个参数；有些参数是整型，有些参数是字符串型。只要是带有参数的动态网页访问了数据库就有可能存在SQL注入。
我们首选要修改浏览器的设置，以便更好的了解动态网页参数里包含的信息。以IE浏览器为例，把IE菜单-工具-Internet选项－高级－显示友好HTTP错误信息前面的勾去掉。
下面以http://xxx.xxx.xxx/abc.asp?p=YY为例进行分析，“YY”可能是整型，也有可能是字符串。
1、整型参数的判断
当输入的参数YY为整型时，通常abc.asp中SQL语句原貌大致如下：
select * from 表名 where 字段=YY，所以可以用以下步骤测试SQL注入是否存在。
（1）http://xxx.xxx.xxx/abc.asp?p=YY and 1=2, abc.asp运行异常；
（2）http://xxx.xxx.xxx/abc.asp?p=YY’(附加一个单引号)，此时abc.ASP中的SQL语句变成了select * from 表名 where 字段=YY’，abc.asp运行异常；
（3）http://xxx.xxx.xxx/abc.asp?p=YY and 1=1, abc.asp运行正常，而且与http://xxx.xxx.xxx/abc.asp?p=YY运行结果相同；
如果这三个方面全部满足，abc.asp中一定存在SQL注入漏洞！
2、字符串型参数的判断
当输入的参数YY为字符串时，通常abc.asp中SQL语句原貌大致如下：
select * from 表名 where 字段=’YY’，所以可以用以下步骤测试SQL注入是否存在。
（1）http://xxx.xxx.xxx/abc.asp?p=YY&nb … 39;1’=’2′, abc.asp运行异常；
（2）http://xxx.xxx.xxx/abc.asp?p=YY&nb … 39;1’=’1′, abc.asp运行正常，而且与http://xxx.xxx.xxx/abc.asp?p=YY运行结果相同；
（3）http://xxx.xxx.xxx/abc.asp?p=YY’(附加一个单引号)，此时abc.ASP中的SQL语句变成了select * from 表名 where 字段=YY’，abc.asp运行异常；
如果这三个方面全部满足，abc.asp中一定存在SQL注入漏洞！
3、字符被过滤的判断
有安全意识的ASP程序员会过滤掉单引号等字符，以防止SQL注入。这种情况可以用下面几种方法尝试。
（1）ASCII方法:所有的输入部分或全部字符的ASCII代码,如U = CRH(85),一个= CRH(97),等等。
(2)UNICODE方法:在IIS UNICODE字符集实现国际化,我们可以在输入字符串即输入UNICODE字符串。如+ = % 2 b,空格= % 20,等;
(1)混合设置方法:大小是大小写不敏感的,因为根据当时和过滤器的程序员通常要么过滤所有大写字母的字符串,或过滤所有小写的字符串,大小写混合往往会被忽略。如用SelecT代替select,SELECT等。
⑤ 判断能否SQL注入的方法
是你网别人的网址上的参数传递中写入自己的查询语句
如htttp://www.abc.com/show.aspx?id=111
页面处理的SQL语句应该是就
select title,content from article where id=111
如果你这样写
htttp://www.abc.com/show.aspx?id=111 ; delete article
他的SQL语句就会变成
select title,content from article where id=111; delete article
即执行了两个语句，，1=1这些只是条件不一样。
奉劝楼主不要做坏事，懂得注入原理就得了，防范好自己的网站。
⑥ 如何判断网站是否可以sql注入
可以用工具探测的，具体的工具可以搜索。有些工具需要懂一些才能用。
⑦ 如何判断网站中存在sql注入漏洞
这个回答可以简单，可以变成一本书。 简单的回答是，使用字符串长度检查和字符检查； 可以在客户端和服务器端同时做。 如用户名长度为6位，密码为6位； 客户端不允许使用内部含“ ”空格，-减号，'单引号
⑧ SQL注入漏洞判断
select语句中如果条件是字符条件的话就要加上单引号'，所以字符型的你只要看它符不符合加单引号后是正确的select语句就行了，符合就对，不符合就错。
⑨ sql 注入问题。判断sql 是否存在注入的关键是什么呢只看sql语句还是其他的呢
最好不要这么用,明显的注入,不要直接把值写到语句中,用变量会好一点.