mysql - 我可以使用 SQL 注入(inject)来更改服务器数据库吗？

Question

我需要一些帮助。

假设我使用 sql 注入(inject)方法获取网站的数据库名称，并设法从表中获取所有数据，是否可以更改该数据而无需使用基本 sql 客户端在服务器上进行识别？

谢谢。

(我希望答案对于所有数据库类型都是通用的，但如果不是，则相关数据库的版本是 mysql)

Answer 1

这取决于授予数据库帐户的权限、Web 服务器用于连接数据库的数据库用户以及 SQL 注入(inject)漏洞的性质。

如果漏洞足够开放，允许您从所有表中提取所有数据，则该网站很可能容易受到过程创建和更改以及表上的 INSERT/UPDATE/DELETE 操作的影响。 (在创建容易受到 SQL 注入(inject)攻击的网站时，同样的疏忽和疏忽，通常与致力于确定数据库权限的疏忽相同......(我将只使用“root”，或者我将使用对所有对象拥有所有权限的数据库帐户...)

创建一个容易受到此类注入(inject)攻击的网站是完全可能的，而且相对容易。

(StackOverflow 问题和答案中充斥着使网站容易受到这种方式攻击所需的代码示例。SQL 注入(inject)漏洞只是冰山一角......如果网站在这种情况下不安全这样，几乎可以肯定还存在其他漏洞。(SQL 注入(inject)恰好是一个非常容易利用的漏洞。)

开发人员已经习惯了这些不安全的模式......

(毕竟，我正在开发的这个网站“仅用于开发/教育/我的使用/等”，“所以安全性不是一个问题”，或者“我将在我之后解决安全漏洞”开发、调试、测试所有这些“yada，yada，yada

...那些编写不安全代码的模式变得根深蒂固。