問答專欄Q & A COLUMN
可以說基本上死透了，現(xiàn)在除非那種笨蛋程序員誰還會用手動拼接SQL語句的方式呢？都是框架自動生成，而框架層面，基本上杜絕了SQL注入的可能性。
必須要承認(rèn)一點，技術(shù)在不斷地發(fā)展。當(dāng)年用C++語言動不動就忘了釋放指針，內(nèi)存泄漏。于是有了后面Java等一大票帶GC的語言，你放心用，碰到忘了釋放的我?guī)湍阏页鰜磲尫拧，F(xiàn)在也是一樣的，各種框架早就替你想好了SQL注入問題，它們把類庫做得越來越好用，甚至很多類庫已經(jīng)是傻瓜式調(diào)用，目的就是為了讓程序員們用的爽，徹底根除SQ注入問題。
當(dāng)然，社會工程學(xué)是永遠(yuǎn)也逃避不開的問題。就算世界上所有類庫都解決了SQL注入問題，也還是避免不了有人用123456做密碼。所以搞滲透的也不要老是糾結(jié)于SQL注入這個層面，從更高處思考問題，才能更好的解決問題。
評論0
加載中...
sql注入基本已經(jīng)不可能再實現(xiàn)攻擊了，除了小白寫的代碼?，F(xiàn)在大家都對SQL注入這個東東有了深入了解，各種框架已限制了這種攻擊方式，前些年，SQL注入都已經(jīng)吃不開了。
評論0
加載中...
還是我來一錘定音的回答你吧，首先說結(jié)果：SQL注入會存在，且會一直存在。
只要你用拼接方式寫SQL語句，這種問題就像鬼魅一樣纏著你。雖然我們對開發(fā)人員喉嚨都喊破了，SQL必須參數(shù)化，但仍有人為了偷那幾行代碼的懶，抱著僥幸心理而使用拼接方式構(gòu)造SQL語句。
黑客根本不會因為你的網(wǎng)站規(guī)模，或者你網(wǎng)站知名度而決定是否黑你，黑客也在與時俱進(jìn)，基本都是全網(wǎng)智能掃描，甚至比百度爬蟲還智能，互聯(lián)網(wǎng)的網(wǎng)站旮旯拐角都能觸及。一但掃到了漏洞，基本都是全自動匹配漏洞進(jìn)行進(jìn)一步入侵。以得到你網(wǎng)站后臺密碼，上傳木馬為分尸前的目標(biāo)。得到服務(wù)器密碼后，給你網(wǎng)站掛惡意廣告、釣魚代碼、給服務(wù)器裝惡意軟件、挖礦軟件等等，這是另外分尸人員的業(yè)務(wù)，和黑客無關(guān)此處不贅述。
現(xiàn)在說說為啥現(xiàn)在感覺SQL注入少了，這個錯覺主要有兩部分原因。
1、互聯(lián)網(wǎng)網(wǎng)站整體沒落，更容易爆出漏洞的小微網(wǎng)站越來越少。
APP、小程序等應(yīng)用的崛起，由于不暴露地址特點，使黑客掃描漏洞的可能性也小了。
2、最重要的原因是：目前大多數(shù)網(wǎng)站都采用了各種成熟的框架技術(shù)，框架廠家相比小微建站公司而言，他們的框架產(chǎn)品漏洞更少，而且有團(tuán)隊長期維護(hù)更新，這就會讓漏洞越來越少。
但這也是個雙刃劍，有些知名的框架程序，一但爆出漏洞，很快就會成為大家都知道的秘密，這時候有人黑你網(wǎng)站，甚至更加容易。
總的來說我還是一直用自己寫的程序，在信息安全方面更加注意也就是了。這些年信息安全逐漸成了一門獨立學(xué)科，需要學(xué)的知識也很多，SQL只是惡性漏洞的一項，還有跨站攻擊等其他惡性問題，大家慢慢了解吧。
評論0
加載中...
sql注入是程序員對代碼考慮不完善造成的。隨著人們對網(wǎng)絡(luò)安全的越來越重視，目前大多數(shù)開發(fā)工具和框架都對sql注入進(jìn)行了相應(yīng)的處理，加之系統(tǒng)維護(hù)者和云主機(jī)提供商都會檢測相關(guān)內(nèi)容，結(jié)果就是sql注入越來越難了。它的發(fā)展方向會逐漸消亡，但是由于老舊系統(tǒng)和網(wǎng)站的存在以及還有不重視相關(guān)內(nèi)容的開發(fā)者，這個過程還是要很緩慢。
評論0
加載中...
沒法注入了，現(xiàn)在都是springboot之類的框架語言，根本不需要你來考慮注入攻擊的問題，那些mybatis之類的數(shù)據(jù)庫連接會自動檢查sql注入，你用了也會無效
評論0
加載中...
0
回答4
回答0
回答0
回答0
回答0
回答0
回答0
回答0
回答0
回答
