菜鸟提问：SQL注入式攻击是什么东西，如何避免？

也是菜鸟

听说是使用的人故意在登录界面输入一些特殊字符造成的。

那我限定用户名和密码的长度，并且规定用户名和密码只能由数字和字母组成，是不是就可以避免？

就送5分，不要嫌少呀

[ 本帖最后由 也是菜鸟 于 2009-9-17 17:50 编辑 ]

ruochen

原帖由 也是菜鸟 于 2009-9-17 14:56 发表

怎么不行呀？空格不让他用，分号不让他用，就让他用【a-z0-9】，长度限定10个字符以内，看他怎么搞？

你是说url
我还以为你说db

ruochen

不行

ziggler

http://news.csdn.net/n/20080626/116978.html

也是菜鸟

原帖由 ruochen 于 2009-9-17 14:44 发表
不行

怎么不行呀？空格不让他用，分号不让他用，就让他用【a-z0-9】，长度限定10个字符以内，看他怎么搞？

ziggler

再长点，数字字母组合更安全。

也是菜鸟

原帖由 ruochen 于 2009-9-17 15:55 发表


你是说url
我还以为你说db

不是说URL呀，就是说DB。

好多注入式不是在登陆界面做文章么，我说这个。
按确定后，我的登录页面会去DB查找用户名的，验证。所以我来了解这个事。

[ 本帖最后由 也是菜鸟 于 2009-9-17 17:48 编辑 ]

也是菜鸟

现在回帖的人都不怎么热心啊
要么就给一个链接，要么语焉不详。。。

[ 本帖最后由 也是菜鸟 于 2009-9-18 10:27 编辑 ]

yueliangdao0608

SQL 注入不仅仅在登录时有机可乘，在任何与数据库交互的时候都有可能发生！

也是菜鸟

原帖由 yueliangdao0608 于 2009-9-18 11:35 发表
SQL 注入不仅仅在登录时有机可乘，在任何与数据库交互的时候都有可能发生！

我做的这个东西是设备内置的Web，就像路由器里边那种一样。

登录后乱搞，搞坏设备，我不负责，呵呵