简单三步走堵死SQLServer注入漏洞

第一步:很多新手从网上下载SQL通用防注入系统的程式，在需要防范注入的页面头部用来防止别人进行手动注入测试。

可是假如通过SQL注入分析器就可轻松跳过防注入系统并自动分析其注入点。然后只需要几分钟，您的管理员账号及密码就会被分析出来。

第二步:对于注入分析器的防范，笔者通过实验，发现了一种简单有效的防范方法。首先我们要知道SQL注入分析器是如何工作的。在操作过程中，发现软件并不是冲着“admin”管理员账号去的，而是冲着权限(如flag=1)去的。这样一来，无论您的管理员账号怎么变都无法逃过检测。

第三步:既然无法逃过检测，那我们就做两个账号，一个是普通的管理员账号，一个是防止注入的账号，为什么这么说呢?笔者想，假如找一个权限最大的账号制造假象，吸引软件的检测，而这个账号里的内容是大于千字以上的中文字符，就会迫使软件对这个账号进行分析的时候进入全负荷状态甚至资源耗尽而死机。下面我们就来修改数据库吧。

1.对表结构进行修改。将管理员的账号字段的数据类型进行修改，文本型改成最大字段255(其实也够了，假如还想做得再大点，能够选择备注型)，密码的字段也进行相同配置。

2.对表进行修改。配置管理员权限的账号放在ID1，并输入大量中文字符(最好大于100个字)。

3.把真正的管理员密码放在ID2后的任何一个位置(如放在ID549上)。

我们通过上面的三步完成了对数据库的修改。

这时是不是修改结束了呢?其实不然，要明白您做的ID1账号其实也是真正有权限的账号，现在电脑处理速度那么快，要是遇上个一定要将他算出来的软件，这也是不安全的。我想这时大多数人已想到了办法，对，只要在管理员登录的页面文档中写入字符限制就行了!就算对方使用这个有上千字符的账号密码也会被挡住的，而真正的密码则能够不受限制。

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有