前言 web漏洞之首莫过于sql了，不管使用哪种语言进行web后端开发，只要使用了关系型数据库，可能都会遇到sql注入攻击问题。那么在Python web开发的过程中sql注入是怎么出现的呢，又是怎么去解决这个问题的？ 当然，我这里并不想讨论其他语言是如何避免sql注入的，网上关于PHP防注入的各种 ...
分类：
数据库 时间：
2019-10-25 20:22:29
阅读次数：
112
安全性测试入门（二）：Command Injection命令行注入攻击和防御 本篇继续对于安全性测试话题，结合DVWA进行研习。 Command Injection：命令注入攻击。 1. Command Injection命令注入 命令注入是通过在应用中执行宿主操作系统的命令，来达到破坏目的的一种攻 ...
分类：
其他好文 时间：
2019-10-12 13:07:01
阅读次数：
124
Command Injection这一节讲的是命令注入攻击。该攻击对任何一个以参数驱动的站点来说都是一个严重威胁。如下图所示：该页面就是一个选择所需查看的文档，然后下方显示文档内容的页面。其存在的漏洞就是后台可以执行用户输入的命令，当我们拦截之后，修改参数如下：可以看到把我们服务器所开端口情况全部显... ...
分类：
Web程序 时间：
2019-10-12 01:47:52
阅读次数：
224
说到MySQL数据库的安全性，可能有大量的相关话题，下面将对几个关键问题进行概括性描述。 （1）安全的一般性因素。包括使用强密码，禁止给用户分配不必要的权限，防止SQL注入攻击。 （2）安装步骤的安全性。确保安装MySQL时指定的数据文件、日志文件、程序文件均被存储在安全的地方，未经授权的人均无法读 ...
分类：
数据库 时间：
2019-10-02 00:24:06
阅读次数：
111
这里只讲解sql注入漏洞的基本类型，代码分析将放在另外一篇帖子讲解 目录 最基础的注入-union注入攻击 Boolean注入攻击-布尔盲注 报错注入攻击 时间注入攻击-时间盲注 堆叠查询注入攻击 二次注入攻击 宽字节注入攻击 base64注入攻击 cookie注入攻击-http请求头参数注入 XF ...
分类：
数据库 时间：
2019-09-30 22:03:02
阅读次数：
251
常见漏洞 sql注入 原理：SQL注入攻击是通过将恶意的SQL查询语句插入到应用的输入参数中，欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息 分类： 1、注入类型：字符型， 数字型 2、提交方式：GET ，POST， COOKIE 3、获取信息的方式：基于报错，盲注，基于回显 防 ...
分类：
Web程序 时间：
2019-09-30 14:41:05
阅读次数：
125
#和$的区别 Mybatis中参数传递可以通过#和$设置。它们的区别是什么呢？ # Mybatis在解析SQL语句时，sql语句中的参数会被预编译为占位符问号? $ Mybatis在解析SQL语句时，SQL语句中的参数会被当做字符串拼接SQL。 使用#能够防止SQL注入攻击。 那么什么是预编译？ 什 ...
分类：
数据库 时间：
2019-09-24 21:13:05
阅读次数：
143
相关文章:PHP的mysql扩展整理,操作数据库的实现过程分析 介绍 mysqli是PHP程序与mysql数据库进行数据交互的桥梁,它支持面向过程和面向对象两种方式 面向过程方式 现在面向对象编程已经成为了主流,mysqli面向过程化的编程方式可能已经没有太多实用价值,但是通过面向对象的和面向过程两 ...
分类：
数据库 时间：
2019-09-11 14:08:51
阅读次数：
144
使用MySQLdb连接数据库执行sql语句时，有以下几种传递参数的方法： 一.通过自定义参数传递： *这种方法跟常规方法区别不大，且存在漏洞。有些时候不能正常解析，比如包含某些特殊字符，甚至会造成注入攻击的风险。 不常用，有人用的时候能看懂即可。 二.执行语句传递参数。（可传递多个参数） 三、使用字 ...
分类：
数据库 时间：
2019-09-11 11:43:45
阅读次数：
559
1.又到了周五。今天有点忙，现在才做完需求，不是有多难，而是启动项目时间花掉了很多。 1.更改之前的习惯： 采用预编译写sql，这是我工作中的虎哥提醒了我，预编译是sql的安全编写方式，预防注入攻击。再也不要写sql+变量了。 2.使用JPA写法。底层也是StringBuilder的拼接。但是提供了 ...
分类：
其他好文 时间：
2019-09-07 01:02:54
阅读次数：
92
