sql - 这是 SQL 注入(inject)攻击的一个例子吗？

Question

我为客户开发了一个网站，他们将在其中在线发布他们的商品图片。网址是 www.domiainname.com/item-details.cfm?sku=125 .有人试图浏览 www.domiainname.com/item-details.cfm?sku=125%20and%203=3这产生了我收到通知的错误。

我还收到以下错误报告:

item-details.cfm?sku=1291+or+1=@@version-- 
item-details.cfm?sku=1291'+or+1=@@version 
item-details.cfm?sku=1291+or+1=@@version

最后三个例子肯定是有人试图进入系统，对吧？

如果我们将其转换为存储过程，是否会减少或消除插入攻击的风险？

Answer 1

是的，看来有人是恶意的。

使用 cfqueryparam 将防止 SQL 注入(inject)攻击。如有疑问(这是 CF)，请询问 Ben:

SQL Injection Attacks, Easy To Prevent, But Apparently Still Ignored

例子:

<cfquery ...>
    SELECT    *
    FROM      Products
    WHERE     SKU=<cfqueryparam value="#URL.SKU#" cfsqltype="CF_SQL_INTEGER">
</cfquery>