有SQL注入吗？
标准查询语言注入是过去，现在和将来使用的相当普遍的漏洞，因为它允许攻击者直接从数据库中提取数据，不仅获取数据，而且还可以更新和删除。 在很多时候，当您阅读有关人们的个人数据被泄露的故事时，您认为这些数据是在哪里存储和“泄漏”的。 过去，我已经能够找到纯粹执行一些API请求并让数据库返回所需数据的数据。 （所有这些都是出于赏金的目的，我一直处于政策限制之内）。 获得的数据越多，分析的内容就越多，发现的内容也就越多。 听起来我是个缠扰者……但我不是……诚实地。 如何注射 那么，您究竟如何运行SQLi？ 最常见的方法之一是使用文本框，该文本框允许用户输入数据并获取结果，例如搜索栏。 假设您在一家在线体育用品商店，然后在搜索框中输入“跑步鞋”一词-该网站将使用“跑步鞋”并将其通过网站应用程序传递，并说返回所有包含“跑步鞋”的产品鞋”中的描述，标题或搜索功能的设置方式。 现在有了一家商店，它很可能会退还您可以购买的跑鞋，因此您将获得名称，价格和所有可买到的好东西的清单。 所有这些数据都来自数据库，因此，当您按Enter键时，您会告诉搜索框告诉网站从数据库中获取数据。 现在，这意味着该网站的安全性很差，我们可以利用搜索框进行出价。 现在，如果我运行了一个实际的SQL查询，例如： 从用户中选择*； 如果此网站的安全性确实很差，则数据库将返回表用户的所有数据，您可以猜测该表将保存哪种数据。 当然，这并不容易，因为大多数允许用户输入文本的框都已被转义。 但这是SQLi的一个非常简单的示例。…
