警惕采用编码过的SQL恶意注入

警惕采用编码过的SQL恶意注入 (转自:http://www.cnblogs.com/micheng11/archive/2009/07/29/1533876.html) 现在很多网站发现SQL注入攻击, 黑客把SQL语句转换成了16进制后就可以逃避我们平时很多的防注入检测了 声明了个 @s,使用了编码的方式把sql语句变成一大串“乱七八糟”(16进制)的东西,然后通过exec可以执行“动态”SQL的特性运行脚本。 还逃避了对关键字字符串的检查。 一般来说最终注入代码都类似于如下片段(SQL Server 2000/2005): dEcLaRe @s vArChAr(8000) sEt @s=0x4465636c617265204054205661726368617228323535292c4043205661726368617228323535290d0a4465636c617265205461626c655f437572736f7220437572736f7220466f722053656c65637420412e4e616d652c422e4e616d6

你可能感兴趣的:(警惕采用编码过的SQL恶意注入)