详解Web应用安全系列(1)注入漏洞之SQL注入

转载 作者：撒哈拉 更新时间：2024-06-20 17:05:22 59 4

var userName= Request.Form["user_name"]; var passwd= Request.Form["password"]; var sql = "select * from user where username='"+userName+"' and password='"+passwd+"' ";

select * from user where username='admin' and password='123456';

select * from user where username='' or 1=1#' and password='123456';

select * from user where username='' or 1=1

select * from user

select * from user where username='';drop table user#' and password='123456';

select * from user where username='';drop table user

var userName= HtmlEncode(Request.Form["user_name"]); var passwd= HtmlEncode(Request.Form["password"]); var sql = "select * from user where username='"+userName+"' and password='"+passwd+"' ";

Private bool ProtectLogin(string userName, string password)
{
    SqlParameter[] parameters = new SqlParameter[]
    {
        new SqlParameter{ParameterName="@UserName",SqlDbType=SqlDbType.NVarChar,Size=10,Value=userName},
        new SqlParameter{ParameterName="@Password",SqlDbType=SqlDbType.VarChar,Size=20,Value=password}
    };
    int count = (int)SqlHelper.Instance.ExecuteScalar
        ("SELECT COUNT(*) FROM Login WHERE UserName=@UserName AND Password=@password", parameters);
    return count > 0 ? true : false;
}

59 4 0

• jstat 详解

  全称“Java Virtual Machine statistics monitoring tool”（statistics 统计；monitoring 监控；tool 工具） 用于监控虚拟机的各种运

• MongoDB索引操作和执行计划Explain()详解

  主要是讲下Mongodb的索引的查看、创建、删除、类型说明，还有就是Explain执行计划的解释说明。    可以转载，但请注明出处。   

• Linux下几种并发服务器的实现模式(详解)

  1>单线程或者单进程 相当于短链接，当accept之后，就开始数据的接收和数据的发送，不接受新的连接，即一个server，一个client 不存在并发。 2>循环服务器和并发服务器

• 详解 Linux中的关机和重启命令

  详解 linux中的关机和重启命令 一 shutdown命令 shutdown [选项] 时间 选项： ?

• 用Newtonsoft将json串转为对象的方法(详解)

  首先，将json串转为一个JObject对象： ? 1

• Python画图常用命令大全(详解)

  matplotlib官网 matplotlib库默认英文字体 添加黑体（‘SimHei'）为绘图字体 代码： plt.rcParams['font.sans-serif']=['SimHei'

• Java中的关键字synchronized 详解

  在并发编程中，synchronized关键字是常出现的角色。之前我们都称呼synchronized关键字为重量锁，但是在jdk1.6中对synchronized进行了优化，引入了偏向锁、轻量锁。本篇

• 详解.NET数据库连接池

  一般我们的项目中会使用1到2个数据库连接配置，同程艺龙的数据库连接配置被收拢到统一的配置中心，由DBA统一配置和维护，业务方通过某个字符串配置拿到的是Connection对象。  

• linux下gettimeofday函数windows替换方法(详解)

  实例如下： ? 1

• 详解.Net缓存之MemoryCahe

  1. MemoryCahe NetCore中的缓存和System.Runtime.Caching很相似，但是在功能上做了增强，缓存的key支持object类型；提供了泛型支持；可以读缓存和单个缓存

• Javascript基础教程之argument 详解

  argument是javascript中函数的一个特殊参数，例如下文，利用argument访问函数参数，判断函数是否执行   复制代码 代码如下: <script

• linux中了minerd之后的完全清理过程(详解)

  一不小心装了一个Redis服务，开了一个全网的默认端口，一开始以为这台服务器没有公网ip，结果发现之后悔之莫及啊 某天发现cpu load高的出奇，发现一个minerd进程 占了大量cpu，googl

• 基于php编程规范(详解)

  今天写这个是为了 提醒自己 编程过程 不仅要有逻辑 思想 还有要规范 代码 这样可读性 1、PHP 编程规范与编码习惯最主要的有以下几点：  1 文件说明  2 funct

• 使用yum查看工具lspci所在包并安装的方法(详解)

  摘要：虚拟机安装时一般都采用最小化安装，默认没有lspci工具。一台测试虚拟网卡性能的虚拟机，需要lspci工具来查看网卡的类型。本文描述了在一个虚拟机中安装lspci工具的具体步骤。 由于要测试

• Linux下高并发socket最大连接数所受的各种限制(详解)

  1、修改用户进程可打开文件数限制 在Linux平台上，无论编写客户端程序还是服务端程序，在进行高并发TCP连接处理时，最高的并发数量都要受到系统对用户单一进程同时可打开文件数量的限制(这是因为系统

• 一篇文章带你入门java运算符(详解)

  目录 算术运算符 基本四则运算符 增量赋值运算符 自增/自减运算符 关系运算符 逻

• PHP面向对象之事务脚本模式(详解)

  如下所示： ? 1

• 详解 MapperScannerConfigurer之sqlSessionFactory注入方式

  MapperScannerConfigurer之sqlSessionFactory注入方式讲解 首先，Mybatis中的有一段配置非常方便，省去我们去写DaoImpl（Dao层实现类）的时间，这个

• 详解：Linux网络虚拟化技术

  Linux的网络虚拟化是LXC项目中的一个子项目，LXC包括文件系统虚拟化，进程空间虚拟化，用户虚拟化，网络虚拟化，等等，这里使用LXC的网络虚拟化来模拟多个网络环境。 本文从基本的网络设备讲

• highchart数据源纵轴json内的值必须是int(详解)

  ? 1