許多網站程序在編寫時，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。

SQL注入是什么?

許多網站程序在編寫時，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。用戶可以提交一段數據庫查詢代碼(一般是在瀏覽器地址欄進行,通過正常的www端口訪問)，根據程序返回的結果，獲得某些想得知的數據，這就是所謂的SQL Injection，即SQL注入。

網站的惡夢——SQL注入

SQL注入通過網頁對網站數據庫進行修改。它能夠直接在數據庫中添加具有管理員權限的用戶，從而最終獲得系統管理員權限。黑客可以利用獲得的管理員權限任意獲得網站上的文件或者在網頁上加掛木馬和各種惡意程序，對網站和訪問該網站的網友都帶來巨大危害。

防御SQL注入有妙法

第一步：很多新手從網上下載SQL通用防注入系統的程序，在需要防范注入的頁面頭部用 來防止別人進行手動注入測試。可是如果通過SQL注入分析器就可輕松跳過防注入系統并自動分析其注入點。然后只需要幾分鐘，你的管理員賬號及密碼就會被分析出來。

第二步：對于注入分析器的防范，筆者通過實驗，發現了一種簡單有效的防范方法。首先我們要知道SQL注入分析器是如何工作的。在操作過程中，發現軟件并不是沖著“admin”管理員賬號去的，而是沖著權限(如flag=1)去的。這樣一來，無論你的管理員賬號怎么變都無法逃過檢測。

第三步：既然無法逃過檢測，那我們就做兩個賬號，一個是普通的管理員賬號，一個是防止注入的賬號，為什么這么說呢?筆者想，如果找一個權限最大的賬號制造假象，吸引軟件的檢測，而這個賬號里的內容是大于千字以上的中文字符，就會迫使軟件對這個賬號進行分析的時候進入全負荷狀態甚至資源耗盡而死機。下面我們就來修改數據庫吧。