如何測試SQL注入是否被阻止？

Question

我如何測試以查看SQL注入是否在我的網站上的文本框中不起作用？

Answer 1

您通常必須考慮來自輸入字段的數據將如何達到實際選擇。一旦你知道你試圖看看你能在這個字段中放置什麼類型的文本來終止一個sql語句並開始另一個。

例如，如果你在代碼中做了這樣的事情：'select * from table where id = ' . $_GET['id']，我給你打電話script.php?id=0%20OR%20true; drop table table;我可以執行兩條語句。

但一般來說，你應該避免通過連接構造選擇。另一位響應者建議使用有界參數更好。

Answer 2

使用一種機制，保證它不可能通過設計，比如綁定參數。那麼不需要測試（對於SQL注入阻力）。

換句話說：不要依賴專門的轉義代碼;很可能你不會100％正確。

Answer 3

只需輸入字符串：

'"; 

如果沒有逃脫在行動，這將打破你的SQL肯定。

請參閱this site about better Strings和this question瞭解更多信息。

Answer 4

通常的檢查是在字段中只添加一次所有特殊符號，看看是否有SQL錯誤。如果沒有錯誤並且記錄正確插入到數據庫中 - 那很好。

Answer 5

您可以使用此列表來創建對你的代碼的攻擊：http://ha.ckers.org/sqlinjection/

您也可以組裝的「危險」的字符和字符組合的列表，並從它創建（僞）-random輸入值。