内容导读：导航目录:1、防范sql注入攻击最有效的手段是什么2、关于防止sql注入的几种手段3、SQL注入哪些工具最有效防范sql注入攻击最有效的手段是什么SQL注入攻击的危害很大，而且防火墙很难对攻击行为进行拦截，主要的SQL注...……
导航目录:
防范sql注入攻击最有效的手段是什么
SQL注入攻击的危害很大，而且防火墙很难对攻击行为进行拦截，主要的SQL注入攻击防范 *** ，具体有以下几个方面。
1、分级管理
对用户进行分级管理，严格控制用户的权限，对于普通用户，禁止给予数据库建立、删除、修改等相关权限，只有系统管理员才具有增、删、改、查的权限。
2、参数传值
程序员在书写SQL语言时，禁止将变量直接写入到SQL语句，必须通过设置相应的参数来传递相关的变量。从而抑制SQL注入。数据输入不能直接嵌入到查询语句中。同时要过滤输入的内容，过滤掉不安全的输入数据。或者采用参数传值的方式传递输入变量，这样可以更大程度防范SQL注入攻击。
3、基础过滤与二次过滤
SQL注入攻击前，入侵者通过修改参数提交and等特殊字符，判断是否存在漏洞，然后通过select、update等各种字符编写SQL注入语句。因此防范SQL注入要对用户输入进行检查，确保数据输入的安全性，在具体检查输入或提交的变量时，对于单引号、双引号、冒号等字符进行转换或者过滤，从而有效防止SQL注入。
当然危险字符有很多，在获取用户输入提交参数时，首先要进行基础过滤，然后根据程序的功能及用户输入的可能性进行二次过滤，以确保系统的安全性。
4、使用安全参数
SQL数据库为了有效抑制SQL注入攻击的影响。在进行SQLServer数据库设计时设置了专门的SQL安全参数。在程序编写时应尽量使用安全参数来杜绝注入式攻击，从而确保系统的安全性。
5、漏洞扫描
为了更有效地防范SQL注入攻击，作为系统管理除了设置有效的防范措施，更应该及时发现系统存在SQL攻击安全漏洞。系统管理员可以采购一些SQL漏洞扫描工具，通过专业的扫描工具，可以及时的扫描到系统存在的相应漏洞。
6、多层验证
现在的网站系统功能越来越庞大复杂。为确保系统的安全，访问者的数据输入必须经过严格的验证才能进入系统，验证没通过的输入直接被拒绝访问数据库，并且向上层系统发出错误提示信息。同时在客户端访问程序中验证访问者的相关输入信息，从而更有效的防止简单的SQL注入。但是如果多层验证中的下层如果验证数据通过，那么绕过客户端的攻击者就能够随意访问系统。因此在进行多层验证时，要每个层次相互配合，只有在客户端和系统端都进行有效的验证防护，才能更好地防范SQL注入攻击。
7、数据库信息加密
传统的加解密 *** 大致分为三种：对称加密、非对称加密、不可逆加密。
关于防止sql注入的几种手段
所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．
防护
归纳一下，主要有以下几点：
1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和
双"-"进行转换等。
2.永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。
3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
5.应用的异常信息应该给出尽可能少的提示，更好使用自定义的错误信息对原始错误信息进行包装
6.sql注入的检测 *** 一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等。
SQL注入哪些工具最有效
SQL Power Injector是一款在.Net 1.1中创建的应用程序，可帮助渗透测试人员在网页上查找和利用SQL注入。
特征
支持Windows，Unix和Linux操作系统
SQL Server，Oracle，MySQL，Sybase / Adaptive Server和DB2兼容
SSL支持
自动从网页上的表单或IFrame加载参数（GET或POST）
检测并浏览框架集
自动检测网站语言的选项
检测并添加加载页面进程期间使用的Cookie（Set-Cookie检测）
自动查找提交页面，其 *** （GET或POST）以不同的颜色显示
可以直接在Datagrids中创建/修改/删除加载的字符串和Cookie参数
单个SQL注入
盲目的SQL注入
比较页面的真实和错误响应或cookie中的结果
时间延迟
SQL注入在自定义浏览器中的响应
可以使用HTML上下文颜色查看返回页面的HTML代码源并在其中搜索
微调参数和cookie注入
可以参数化预期结果的长度和计数以优化应用程序执行SQL注入所用的时间
创建/编辑预设的ASCII字符，以优化盲注SQL请求数/请求速度
多线程（最多可配置50个）
选项可以通过空的评论/ ** /针对IDS或过滤器检测来替换空间
在发送之前自动编码特殊字符
自动检测响应页面中的预定义SQL错误
在响应页面中自动检测预定义的单词或句子
实时结果
将会话保存并加载到XML文件中
自动查找正面答案和负面答案页面之间差异的功能
可以创建一个范围列表，它将替换隐藏的SQL注入字符串中的变量（gt;）并自动为您播放它们
使用文本文件中的预定义列表自动重播变量范围
Firefox插件，它将启动SQL Power Injector以及当前网页的所有信息及其会话上下文（参数和cookie）
两个集成工具：Hex和Char编码器和MS SQL @options解释器
可以编辑Referer
可以选择一个用户 *** （或者甚至在用户 *** XML文件中创建一个）
可以使用设置窗口配置应用程序
支持可配置的 ***
软件截图
地址：
ilo--，Reversing.org - sqlbftools
地址：
Bernardo Damele AG：sqlmap，自动SQL注入工具
介绍
sqlmap是一款开源渗透测试工具，可自动检测和利用SQL注入漏洞并接管数据库服务器。它具有强大的检测引擎，针对终极渗透测试人员的众多特性，以及从数据库指纹识别，从数据库获取数据，到访问底层文件系统以及在操作系统上执行命令的各种开关，带外连接。
特征
完全支持MySQL，Oracle，PostgreSQL，Microsoft SQL Server，Microsoft Access，IBM DB2，SQLite，Firebird，Sybase，SAP MaxDB，HSQLDB和Informix数据库管理系统。
完全支持六种SQL注入技术：基于布尔的盲，基于时间的盲，基于错误，基于UNION查询，堆栈查询和带外。
支持直接连接数据库而不通过SQL注入，通过提供DBMS凭证，IP地址，端口和数据库名称。
支持枚举用户，密码哈希，特权，角色，数据库，表和列。
自动识别密码哈希格式并支持使用基于字典的攻击对其进行破解。
支持完全转储数据库表，根据用户的选择提供一系列条目或特定列。用户也可以选择仅转储每列条目中的一系列字符。
支持搜索特定的数据库名称，跨所有数据库的特定表或所有数据库表的特定列。例如，这对于识别包含自定义应用程序凭证的表格非常有用，其中相关列的名称包含名称和传递等字符串。
当数据库软件是MySQL，PostgreSQL或Microsoft SQL Server时，支持从数据库服务器底层文件系统下载和上载任何文件。
当数据库软件是MySQL，PostgreSQL或Microsoft SQL Server时，支持执行任意命令并在数据库服务器底层操作系统上检索它们的标准输出。
支持在攻击者机器和数据库服务器底层操作系统之间建立带外状态TCP连接。该通道可以是交互式命令提示符，Meterpreter会话或图形用户界面（VNC）会话，可以根据用户的选择进行选择。
通过Metasploit的Meterpreter 命令支持数据库进程'用户权限升级
地址：
icesurfer：SQL Server接管工具 - sqlninja
介绍
喜欢从Microsoft SQL Server上的SQL注入到数据库上的完整GUI访问？采用一些新的SQL注入技巧，在注册表中添加几个远程镜头以禁用数据执行保护，混合一个自动生成调试脚本的小Perl，将所有这些放在一个带有Metasploit包装器的振动器中，只有sqlninja的攻击模块之一！
Sqlninja是一款旨在利用以Microsoft SQL Server作为后端的Web应用程序中的SQL注入漏洞的工具。
其主要目标是在易受攻击的数据库服务器上提供远程访问，即使在非常恶劣的环境中也是如此。渗透测试人员应该使用它来帮助和自动化发现SQL注入漏洞时接管数据库服务器的过程。
特征
完整的文档可以在tarball中找到，也可以在这里找到，但是这里列出了忍者的功能：
远程SQL Server的指纹（版本，执行查询的用户，用户权限，xp_cmdshell可用性，数据库身份验证模式）
数据提取，基于时间或通过DNS隧道
与Metasploit3集成，通过VNC服务器注入获得对远程数据库服务器的图形化访问，或者仅上传Meterpreter
通过vbscript或debug.exe仅上传可执行的HTTP请求（不需要FTP / TFTP）
直接和反向绑定，TCP和UDP
当没有可用于直接/反向外壳的TCP / UDP端口时，DNS隧道伪外壳，但数据库服务器可以解析外部主机名
ICMP隧道外壳，当没有TCP / UDP端口可用于直接/反向外壳，但数据库可以Ping您的盒子
蛮力的'sa'密码（2种口味：基于字典和增量）
如果找到'sa'密码，权限将升级到系统管理员组
创建自定义的xp_cmdshell，如果原始的已被删除
TCP / UDP端口可以从目标SQL Server扫描到攻击机器，以便找到目标 *** 防火墙允许的端口并将其用于反向shell
回避技术混淆了一些IDS / IPS / WAF
与churrasco.exe集成，通过令牌绑架将权限升级到w2k3上的SYSTEM
支持CVE-2010-0232，将sqlservr.exe的权限升级到SYSTEM
地址：