著名的SQL流量注入(SQL注入)攻擊法

之所以舊事重提，只是想給那些還沒接觸到的人提個醒，順便聽聽眾位高手們的看法，好學習學習。

我們在編程過程中，經常會把使用者輸入的資料拼成一個SQL語句，然後直接發送給伺服器執行，比如：

string SqlStr = "select * from customers where CompanyName Like '%" + textBox1.Text + "%'";

這樣的字串串連可能會帶來災難性的結果，比如使用者在文字框中輸入：

a' or 1=1 --

那麼SqlStr的內容就是：

select * from customers where CompanyName like '%a' or 1=1 --%'

這樣，整個customers資料表的所有資料就會被全部檢索出來，因為1=1永遠true，而且最後的百分比符號和單引號被短橫杠注釋掉了。

如果使用者在文字框中輸入：

a' EXEC sp_addlogin 'John' ,'123' EXEC sp_addsrvrolemember 'John','sysadmin' --

那麼SqlStr的內容就是：

select * from customers where CompanyName like '%a' EXEC sp_addlogin 'John','123' EXEC sp_addsrvrolemember 'John','sysadmin' --

這個語句是在後台資料庫中增加一個使用者John，密碼123，而且是一個sysadmin帳號，相當於sa的許可權。

如果使用者在文字框中輸入：

a' EXEC xp_cmdShell('format c:/y') --

運行之後好像是格式化C盤！

還有很多更危險的操作，不過都沒試過。還是預存程序好用啊，預存程序的參數把使用者的輸入當成真正的字串處理，既安全，又快速！