網站的噩夢——SQL注入
SQL注入通過網頁對網站數據庫進行修改。它能夠直接在數據庫中添加具有管理員權限的用戶，從而最終獲得系統管理員權限。黑客可以利用獲得的管理員權限任意獲得網站上的文件或者在網頁上加掛木馬和各種惡意程序，對網站和訪問該網站的網友都帶來巨大危害。
防御SQL注入妙法
第一步：下載SQL通用防注入系統的程序，在需要防范注入的頁面頭部用<!--# include file=”xxx.asp”-- >來防止別人進行手動注入測試。
可是如果通過SQL注入分析器就可輕松跳過防注入系統并自動分析其注入點，然后只需幾秒鐘，你的管理員帳號及密碼就會被分析出來。
第二步：對于注入分析器的防范，筆者通過實驗，發現了一種簡單有效的防范方法。首先我們要知道SQL注入分析器是如何工作的。在操作過程中，發現軟件并不是沖著“admin”管理員帳號去的，而是沖著權限（如flag=1）去的。這樣一來，無論你的管理員帳號怎么變都無法逃過檢測。
第三步：既然無法逃過檢測，那我們就做兩個帳號，一個是普通的管理員帳號，一個是防注入的帳號。為什么這么說呢？筆者想，如果找一個權限最大的帳號制造假象，吸引軟件的檢測，而這個帳號里的內容是大于千字以上的中文字符，就會迫使軟件對這個帳號進行分析的時候進入全負荷狀態甚至資源耗盡而死機。下面我們就來修改數據庫吧。
1、對表結構進行修改。將管理員的帳號字段的數據類型進行修改，文本型改成最大字段255（其實也夠了，如果還想做得大點，可以選擇備注型），密碼的字段也進行相同的設置。
2、對表進行修改。設置管理員權限的帳號放在ID1，并輸入大量中文字符（最好大于100個字）。
3、把真正的管理員密碼放在ID2后的任何一個位置（如放在ID549上）。
我們通過上面的三步完成了對數據庫的修改。
這時是不是修改結束了呢？其實不然，要明白你做的ID1帳號其實也是真正有權限的帳號，現在計算機處理速度那么快，要是遇上個一定要將它算出來的軟件，這也是不安全的。我想這時大多數人已經想到了辦法，對，只要在管理員登陸的頁面文件中寫入字符限制就行了！就算對方使用這個有上千字符的帳號密碼也會被擋住的，而真正的密碼則可以不受限制。
文章來源于領測軟件測試網 http://www.kjueaiud.com/