❶ 如何彻底防止sql注入
1、对，限制用户输入肯定有效
2、应该也可以做到，但正则不是一种高效的方法，用HtmlEncode的方法可以有效防止空格等被DBMS解释，但注意别把编码、解码搞反了；存储过程是DBMS执行的一段程序，把数据操纵交给存储过程执行，而不是提交SQL语句，可以有效防止SQL注入。
3、地址栏的Sql攻击，下面我引用了一段资料解释，他关于机制说的较清楚，关于解决，只是从客户端考虑的，实际上用存储过程等都可以防范。
资料：
首先，入侵者会对一个网站确定可不可以进行注入，假设一篇文章的地址为：http://www.naohou.cn/show.asp?id=325一般会以提交两个地址来测试，如：
http://www.naohou.cn/show.asp?id=325 and 1=1
http://www.naohou.cn/show.asp?id=325 and 1=2
第一个地址后面加了 and 1=1，构成的SQL语句也就变为了：Select * from 表单名 where id=1 and 1=1这句话要成立就必须and前后语句都成立。那么前面的文章地址是可以访问的，后面的1=1也是客观成立的，那么第一个地址就可以正常显示；相反1=2是显然不成立的，关键就看这步了，如果提交and 1=2页面还是正常显示说明他并没有将and 1=2写入SQL语句，此站也就不存在注入漏洞；但如果提交and 1=2之后返回了错误页面则说明此站点将后面的语句带入了SQL语句并执行了，也就说明他可以进行SQL注入。（注：如果地址后面跟的是news.asp?id='1'就得变为news.asp?id=1' and '1'='1来补全引号了）
那么，知道可以注入后入侵者可以做什么呢？
这里就简单的说一下，比如提交这样的地址：
http://www.naohou.cn/show.asp?id=325 and exists (select * from 表名 where 列名=数据)
根据返回的正确或错误页面来判断猜的表名和列名是否正确，具体实现时是先猜表名再猜列名。当猜出表名和列名之后还可以用ASC和MID函数来猜出各列的数据。MID函数的格式为：mid(变量名,第几个字符开始读取,读取几个字符)，比如：mid(pwd,1,2)就可以从变量pwd中的第一位开始读取两位的字符。ASC函数的格式为：ASC（"字符串"），如：asc("a")就可以读出字母a的ASCII码了。那么实际应用的时候就可以写为：asc(mid(pwd,1,1))这样读取的就是pwd列的第一个字符的ASCII码，提交： asc(mid(pwd,1,1))>97以返回的页面是否为正确页面来判断pwd列的第一个字符的ASCII码是否大于97（a的ASCII码），如果正确就再试是否小于122（z的ASCII码）……这样慢慢缩小字符的ASCII码的范围，猜到真实的ASCII码也只是时间的问题。一位一位的猜就可以得到数据库中的用户名和密码了。还有一种ASP验证缺陷——就是用户名和密码都输'or '1'='1，构造SQL语句Select * form 表单名 where username='' or '1'='1' and pwd='' or '1'='1'就可以达到绕过密码验证的目的。
说了那么多，其实防范的方法很简单，我们把特殊字符（如and、or、'、"）都禁止提交就可以防止注入了。ASP传输数据分为get和post两种， get是通过将数据添加到URL后提交的方式，post则是利用邮寄信息数据字段将数据传送到服务器。
❷ 轻松三步走！防止MSSQL数据库注入攻击
风靡全球的SQL注入攻击，相信给很多人留下了深刻的印象，但是在这场攻击过后，笔者查阅了网上目前修补SQL注入的方法，发现里面都是一些“杂乱无章”的修补代码，对于不会编程的站长们来说，简直是“鸭子看闪电等于白看”!不如使用一下“SQL防注入系统”，轻松解决您网站所存在的注入漏洞吧!
小知识:SQL注入是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，所以目前市面的防火墙都不会对SQL注入发出警报。如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉，要想自己开始就不被他人所注入，请跟着笔者三步来走。
一、工欲善其事，必先利其器
SQL注入攻击，虽然俗称“有洞必入、有孔必钻”!但是面对SQL防注入系统，铁一般坚硬的“防盾盔甲”，这种注入式攻击就会失去，传说中的入侵效果，从而可以还大家一片难得的安宁!
软件名称:SQL通用防注入系统
软件版本:3.0
软件大小:12 KB
软件性质:免费软件
应橡芹用平台:Windows 9X/NT/2000/XP
小提示:当我们要对自己网站程序做SQL防注入时，需要从网上将SQL防注入系统工具，下载到本地，里面压缩包内含有三个文件，依次排列名为Neeao_SqlIn.Asp文件，是防SQL注入攻击的主文件程序，其次Neeao_sql_admin.asp文件，是防止网站后台泄密的管理文件，最后一个SQLIN.mdb是数据库表文件，只是起到连接其两个数据文件的作用。
为了后台管理员密码不为弱口令，请打开装有SQL防注入软件的文件夹，找到其目录下的Neeao_sql_admin.asp后台管理文件，并且以记事本形式将它打开，然后便于修改其目前的弱口令密码，单击“编辑”菜单→“查找”选项，打开“查找”对话框，在里面的文本标签内，输入neeao的关键字，单击“查找下一个”按钮，就会在代码文本内，选中当前后台的弱口令密码(如图1)，将其替换成自己觉得较为复杂的密码。操作完毕后，单击“文件”菜单，选择“保存”选项，自己所设置的后台密码，即可修改成功。
二、网站上传，让防注入程序监守岗位
如梁绝毕果想网站不含有SQL注入漏洞，这里请将自己的网站空间打开，然后将刚才修改的Neeao_sql_admin.asp文件，以及其同程序内自带的两个文件，一并上传到含有漏洞的网站目录里，而后以记事本或者WEBSHELL的形式，分别打开网站的所有页面，笔者这里WEBSHELL的形式打开，并且将其防注入
这句代码替换成每个页面的代码开头部分(如图2)。保宏悄存以后，SQL注入漏洞就会立即一去不复返!如果你觉得在每个网站页面插入，防止注入的代码有些麻烦，可以在网站数据库的连接文件中，插入以上所提供的防止代码，也可达到整站防止SQL注入的效果。
三、结束语
从笔者“轻松防注”的网站经历中，大家不难发现只要将“SQL防注入系统”运用得当，无需掌握高深的编程修补技术，也同样可以阻止住SQL注入的再次攻击。所以说本文提供的方法，是新手站长们的安全福音，一点都不为过。
❸ SQL注入防御：用三种策略应对SQL注入攻击[2]
* Microsoft安全部门（The Microsoft Security Development Lifecycle SDL）对SQL注入的防御进行了一些指导 简单来说有三种策略来应对SQL注入攻击
使用SQL参数查询
使用存储过程
使用SQL仅执行（execute only）许可
同时 编写安全的代码（第二版）也指导了如何防御此类攻击
* 减轻SQL注入 使用参数查询（第一部分和第二部分） 使用参数化查询的好处是它将执行的代码（例如SELECT语句）和数据（由程序使用者提供的动态信息）分开 该途径防御了通过用户传递来执行的恶意语句
在经典ASP代码中过滤SQL注入（或者黑名单中的字符） 我们将如下的工作认为是实际中临时性的解决方案 因为它治标不治本 （例如 代码仍然是有漏洞的 他仍然可能被绕过过滤机制而被访问到）
如果你仍然不了解从哪里开始 所有使用特定ASP代码访问数据库 尤其是使用由用户提供的数据的代码应当首先被检测
lishixin/Article/program/SQL/201311/16221
❹ 防止sql注入的最佳方式
1、利用第三方软件加固，监控所有传入的字符串
2、网上有很多防SQL注入代码，引入到网页的每一个需要传值页里
3、对于每一个传值，进行数据类型、长度、规则等判断，比如传入ID=1，你要判断ID里的是不是数字，且不会超过多少位，如果不满足条件就做其它处理
通常就这三种方法
❺ 对于 SQL 注入攻击的防御，可以采取哪些措施（）
对于 SQL 注入攻击的防御，可以采取哪些措施?（）
A 对表单里的数据进行验证与过滤，在实际开发过程中可以单独列一个验证函数， 该函数把每个要过滤的关键词如 select、1=1 等都列出来，然后每个表单提交时都 调用这个函数(正确答案桥州)
B 不要把机密信息直接存放，加密或者 Hash 掉密码和敏感的信息(正确答案差消派)
C 不要使用动态拼装虚贺 sql，可以使用参数化的 sql 或者直接使用存储过程进行数据查 询存取(正确答案)
D 不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接(正确答案)
❻ 针对sql注入攻击，有哪些防范措施
SQL注入攻击的危害很大，而且防火墙很难对攻击行为进行拦截，主要的SQL注入攻击防范方法，具体有以下几个方面。
1、分级管理
对用户进行分级管理，严格控制用户的权限，对于普通用户，禁止给予数据库建立、删除、修改等相关权限，只有系统管理员才具有增、删、改、查的权限。
2、参数传值
程序员在书写SQL语言时，禁止将变量直接写入到SQL语句，必须通过设置相应的参数来传递相关的变量。从而抑制SQL注入。数据输入不能直接嵌入到查询语句中。同时要过滤输入的内容，过滤掉不安全的输入数据。或者采用参数传值的方式传递输入变量，这样可以最大程度防范SQL注入攻击。
3、基础过滤与二次过滤
SQL注入攻击前，入侵者通过修改参数提交and等特殊字符，判断是否存在漏洞，然后通过select、update等各种字符编写SQL注入语句。因此防范SQL注入要对用户输入进行检查，确保数据输入的安全性，在具体检查输入或提交的变量时，对于单引号、双引号、冒号等字符进行转换或者过滤，从而有效防止SQL注入。
当然危险字符有很多，在获取用户输入提交参数时，首先要进行基础过滤，然后根据程序的功能及用户输入的可能性进行二次过滤，以确保系统的安全性。
4、使用安全参数
SQL数据库为了有效抑制SQL注入攻击的影响。在进行SQLServer数据库设计时设置了专门的SQL安全参数。在程序编写时应尽量使用安全参数来杜绝注入式攻击，从而确保系统的安全性。
5、漏洞扫描
为了更有效地防范SQL注入攻击，作为系统管理除了设置有效的防范措施，更应该及时发现系统存在SQL攻击安全漏洞。系统管理员可以采购一些SQL漏洞扫描工具，通过专业的扫描工具，可以及时的扫描到系统存在的相应漏洞。
6、多层验证
现在的网站系统功能越来越庞大复杂。为确保系统的安全，访问者的数据输入必须经过严格的验证才能进入系统，验证没通过的输入直接被拒绝访问数据库，并且向上层系统发出错误提示信息。同时在客户端访问程序中验证访问者的相关输入信息，从而更有效的防止简单的SQL注入。但是如果多层验证中的下层如果验证数据通过，那么绕过客户端的攻击者就能够随意访问系统。因此在进行多层验证时，要每个层次相互配合，只有在客户端和系统端都进行有效的验证防护，才能更好地防范SQL注入攻击。
7、数据库信息加密
传统的加解密方法大致分为三种：对称加密、非对称加密、不可逆加密。
❼ 关于防止sql注入的几种手段
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．
防护
归纳一下，主要有以下几点：
1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和
双"-"进行转换等。
2.永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。
3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装
6.sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等。
❽ SQL注入最有效的防御方式是什么
注入方式：ql注入，就是通过把sql命令插入到web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的sql命令。防御：如果是.net的后台
比如sql语句是
id='"+
textbox.text
+"'
就会被注入,
如果[email protected]("@id",textbox.text)
这样就可以。用replace把单引等特殊字符替换也行
❾ 怎样防止sql注入
可以使用变量绑定的方式就可以防止sql注入，如果是直接拼接的方式那么就非常容易被注入。比如：select * from tablename where user='admin' and pwd ='123' 假设说这个是一个登录的sql语句，admin是用户文本框输入的，pwd是密码框输入的。如果密码文本框如果输入：' or '1'='1 那么拼接起sql就是select * from tablename where user='admin' and pwd ='' or '1'='1' 那么就会跳过sql的条件就直接进入登录，但是如果是使用绑定变量的就不一样
如下：
select * from tablename where user=@user and pwd =@pwd
@user=admin
@pwd=123
这样的话不管user和pwd传入的是什么内容都被sql server识别成字符串而不是直接拼接在sql 语句上。
❿ 如何防止SQL注入漏洞
1、过滤掉一些常见的数据库操作关键字：select,insert,update,delete,and,*等
或者通过系统函数：addslashes(需要被过滤的内容)来进行过滤。
2、在PHP配置文件中
Register_globals=off;设置为关闭状态 //作用将注册全局变量关闭。
比如：接收POST表单的值使用$_POST['user'],如果将register_globals=on;直接使用$user可以接收表单的值。
3、SQL语句书写的时候尽量不要省略小引号(tab键上面那个)和单引号
4、提高数据库命名技巧，对于一些重要的字段根据程序的特点命名，取不易被猜到的
5、对于常用的方法加以封装，避免直接暴漏SQL语句
6、开启PHP安全模式
Safe_mode=on;
7、打开magic_quotes_gpc来防止SQL注入
Magic_quotes_gpc=off;默认是关闭的，它打开后将自动把用户提交的sql语句的查询进行转换，把'转为\'，这对防止sql注入有重大作用。
因此开启：magic_quotes_gpc=on;
8、控制错误信息
关闭错误提示信息，将错误信息写到系统日志。
9、使用mysqli或pdo预处理