ＳＱＬ注入是從正常的WWW端口訪問，而且表面看起來跟一般的Web頁面訪問沒什么區別， 所以目前市面的防火墻都不會對ＳＱＬ注入發出警報，如果管理員沒查看IIS日志的習慣，可能被入侵很長時間都不會發覺。
隨著B/S模式應用開發的發展，使用這種模式編寫應用程序的程序員也越來越多。但是由于這個行業的入門門檻不高，程序員的水平及經驗也參差不齊，相當大一部分程序員在編寫代碼的時候，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。用戶可以提交一段數據庫查詢代碼，根據程序返回的結果，獲得某些他想得知的數據，這就是所謂的SQL Injection，即SQL注入。
SQL注入是從正常的WWW端口訪問，而且表面看起來跟一般的Web頁面訪問沒什么區別，所以目前市面的防火墻都不會對SQL注入發出警報，如果管理員沒查看IIS日志的習慣，可能被入侵很長時間都不會發覺。
但是，SQL注入的手法相當靈活，在注入的時候會碰到很多意外的情況。能不能根據具體情況進行分析，構造巧妙的SQL語句，從而成功獲取想要的數據，是高手與“菜鳥”的根本區別。
SQL注入的簡單原理和攻擊一般步驟，文章作者想讓人一天學會SQL注入攻擊。 SQL Server應用程序中的高級SQL注入
這份文檔是詳細討論SQL注入技術，它適應于比較流行的IIS+ASP+SQLSERVER平臺。它討論了哪些SQL語句能通過各種各樣的方法注入到應用程序中，并且記錄與攻擊相關的數據確認和數據庫鎖定。 編寫通用的ASP防SQL注入攻擊程序
如果編寫通用的SQL防注入程序一般的http請求不外乎get 和 post,所以只要我們在文件中過濾所有post或者get請求中的參數信息中非法字符即可，所以我們實現http 請求信息過濾就可以判斷是是否受到SQL注入攻擊。
延伸閱讀
文章來源于領測軟件測試網 http://www.kjueaiud.com/
