SQL 2000 如何防止注入？

反注入就是过滤或替换敏感字符。

当用户提交 GET 或 POST 表单或 URL 参数时，过滤或替换敏感字符，尤其是单引号、双引号、尖括号、斜杠等。

不光是它，还是关于调用反黑客功能，Genius会得到你需要得到的所有SQL通用防注入系统我们会帮你加我哥哥。请这样做。 将这三个。

SQL注入攻击是一种利用程序员在开发过程中操作数据库的低级错误的攻击。

执行此操作的主要方法是使用串联字符串来实现某些操作。

然而，文件拆毁的攻击显然已经过时了，尤其是在LINQ推出之后，已经正式退出了历史舞台。

首先，替换单引号，即将所有单独出现的单引号改为两个单引号，以防止攻击者修改SQL命令的含义。 让我们看一下前面的例子，“select * from users where login =”。''' or ''1''=''1' and password = ''' or ''1''=''1'显然，你会得到与“从用户中选择*”相同的结果，其中login =。'' or '1'='1' and password = '' or '1'='1'“不同的结果。

其次，从用户输入中删除所有连字符，以防止攻击者构造类似“select * from users where login =”的类。'mas' --and password =''由于此类查询的后半部分已被注释掉，不再有效，因此攻击者只需要知道合法的用户登录名，而不需要知道用户的密码即可顺利访问。

第三：限制用于执行查询的数据库帐户的权限。 使用不同的用户帐户执行查询、插入、更新、删除操作。

通过隔离不同帐户可以执行的操作，它可以防止使用 SELECT 命令来执行插入、更新或删除命令。

所谓SQL注入，就是在Web表单中插入SQL命令提交或输入域名或页面请求的查询字符串，最后欺骗服务器执行恶意SQL命令。 具体来说，就是利用现有应用将（恶意的）SQL命令注入后端数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句来获取一个存在安全漏洞的数据库，而不是按照设计者的意图执行SQL语句。 比如之前很多影视**泄露VIP会员密码，大部分都是通过Web表单暴露提交查询字符的，而这种表单特别容易受到SQL注入攻击

总结一下保护，主要有以下几点：

1.永远不要相信用户的输入。 通过正则表达式或限制长度来验证用户的输入; 将单引号和 .

双"-"进行转换等。

2.切勿使用动态组合的 SQL 语句，可以使用参数化的 SQL 语句或直接使用存储过程来查询和访问数据。

3.切勿使用具有管理员权限的数据库连接，而是对每个应用使用具有有限权限的单独数据库连接。

4.不要直接存储机密信息，不要对密码和敏感信息进行加密或散列。

5.应用的异常消息应尽可能少地提供提示，最好使用自定义错误消息包装原始错误消息。

注入的检测方法一般由辅助软件或**平台检测，软件一般使用SQL注入检测工具JSKY，**平台有易思**安全平台的检测工具。 MDCow Scan等。 MDCosoft-IPS可用于有效防御SQL注入、XSS攻击等。

SQL注入：利用现有应用程序将（恶意）SQL命令注入后端数据库引擎执行的能力，这是SQL注入的标准定义。

SQLPameter 不使用串联 SQL 语句传递参数，而是用于传递 SQL 参数。

2.手动筛选特殊字符，例如：'%','or'，等，建议在执行sql命令之前添加。

执行此操作的最佳方法是使用存储过程来参数化.........