sql-injection - SQL注入(inject)？字符(45,120,49,45,81,45)

Question

我刚刚在我们的请求日志中看到了这一点。他们想达到什么目的？

完整的请求字符串是:

properties?page=2side1111111111111 UNION SELECT CHAR(45,120,49,45,81,45),CHAR(45,120,50,45,81,45),CHAR(45,120,51,45,81,45),CHAR(45,120,52,45,81,45),CHAR(45,120,53,45,81,45),CHAR(45,120,54,45,81,45),CHAR(45,120,55,45,81,45),CHAR(45,120,56,45,81,45),CHAR(45,120,57,45,81,45),CHAR(45,120,49,48,45,81,45),CHAR(45,120,49,49,45,81,45),CHAR(45,120,49,50,45,81,45),CHAR(45,120,49,51,45,81,45),CHAR(45,120,49,52,45,81,45),CHAR(45,120,49,53,45,81,45),CHAR(45,120,49,54,45,81,45) -- /*

编辑:由于谷歌搜索没有返回任何有用的信息，我想问遇到同样事情的人这个问题。

Answer 1

这只是一个注入(inject)测试。如果攻击者可以在输出中看到 xQ，那么他们就会知道注入(inject)是可能的。

此特定查询没有“风险”。

开发人员不应该关注任何注入(inject)机制、格式或含义——这些不关他的事。

只有一个 导致所有无限次注入(inject) - 一个 格式不正确的查询。 只要您的查询格式正确，就不可能进行 SQL 注入(inject)。专注于您的查询，而不是 SQL 注入(inject)的方法。