移動互聯網的發展勢頭已經遠遠超過PC互聯網，手機移動端上網，以及持有量遠超PC電腦，

隨著移動大數據、區塊鏈的技術在不斷的完善，成熟，日常生活中經常會聽到某某網站被攻擊，

網站被駭的新聞報道，再比如一個團購網站被入侵，導致用戶的信息隱私被洩露，多少萬的會員

數據被盜走，這無意是給網站帶來了嚴重的影響與經濟損失。

 

 

像之前的高考網站被駭，高考完的學生們去查高考分數的這種急迫心情，就這麼被攻擊者給破壞，

導致高考成績不能正常查詢，帶來了更多心裡上的擔心與考生的信息可能面臨著被洩露，緊接帶

來的就是一系列的經濟詐騙的發生，上面發生的種種情況，都跟我們今天要說的網站安全防護，

關於如何更好的防止SQL注入攻擊？

 

 

網站被駭的情況，經過我們eSafe白帽資安網公司多年來的安全維護經驗來總結，一般都是由於網站存在

漏洞，大多數是跟網站SQL注入漏洞有關，mysql數據庫，oracle數據庫，sql數據庫，都會遭到

sql的注入攻擊，進而導致網站的數據庫信息被脫褲，這種攻擊手段一般會在訪問日誌以及網站內

部的流量統計裡發現問題，SQL注入攻擊的技術在近幾年一直在升級變化，攻擊特徵也比較另類，

甚至偽裝成正常的sql語句來執行攻擊者的惡意參數。

 

網站的訪問，用戶打開網站以及登錄，各項的網站交互功能使用過程當中，Linux主機端應該對

前端網站用戶的訪問與GET POST,COOKIES提交的參數進行安全過濾，把正常的sql語句執行到

數據庫。而攻擊者是利用sql語句執行的便利條件，摻雜進惡意的sql注入語句執行到數據庫中，

比如查詢網站管理員的賬號密碼，修改網站會員的提現銀行卡，修改網站的支付接口，支付賬號

，通過數據庫篡改注單，修改投注記錄、修改會員密碼或者會員的認證資料，銀行卡等攻擊症狀。

總的來說攻擊者把正常的sql語句轉變成惡意的sql注入語句，執行到數據庫裡並進行讀寫查詢。

 

 

那麼該如何更好的防止網站被sql注入呢？

 

首先我們應該對網站程序代碼進行詳細的安全檢測，與網站漏洞檢測，在網站的前端進行多種方式

的提交與注入檢測，對代碼裡中與用戶交互並與數據庫直接傳輸打交道的代碼進行嚴查，看看是否

可以摻雜非法的sql注入代碼進去。對GET、POST、COOKIES的提交進行過濾，過濾特殊符號，

對一些&*%¥#@/等等的符號，以及轉義符號進行嚴格的過濾與攔截。對前端的網站進行PHP安

全函數的變量過濾，網站web端的JS過濾檢測是否含有SQL注入的非法參數，比如一些sql注入

代碼，and 1=1 1=2 select union等查詢的語句過濾。

字符串的安全過濾，對and以及delete,updata,char,master,chr.exec,mid,declare,or,count

等等的字符串在服務器端進行嚴格攔截，當用戶輸入過來的值以及數據包中含有以上的字符串，進

行攔截並記錄到日誌裡，以防攔截正常的用戶交互功能使用。
 

 

網站前端也可以使用WAF防火牆，使用CDN進行防護sql注入，國內可以使用百度CDN來進行防止

sql注入攻擊。