sql-injection - 什么是 nvOpzp； AND 1=1 或(<'">iKO))？

Question

我每天都会多次看到对网站上公共(public)搜索框的查询:

'nvOpzp; AND 1=1 OR (<'">iKO)),

这是怎么回事？

Answer 1

这只是尝试查看代码是否会出错。两种引号以防另一种引号未被转义。要在输出中查找的无意义文本 - 如果找到，则可能存在注入(inject)。

也可能是 XSS 测试。

这段代码正在寻找三个不同的缺陷:

• 数据在使用前没有得到妥善处理 - 为 HTML 转义，为 SQL 准备
• 错误显示在屏幕上而不是被记录下来
• 遵守上述规则是任意的，不是强制性的

一天几次，因为这个过程是无意识的自动化，范围扫描。这样做的人通常被称为脚本小子——他们实际上什么都不知道，他们只是运行一些预制的软件。