9Python全站之路系列之MySQLSL注入-創(chuàng)新互聯(lián)

Python全棧之路系列之MySQL SQL注入

成都創(chuàng)新互聯(lián)公司自2013年起，是專業(yè)互聯(lián)網(wǎng)技術(shù)服務(wù)公司，擁有項(xiàng)目成都網(wǎng)站建設(shè)、網(wǎng)站制作網(wǎng)站策劃，項(xiàng)目實(shí)施與項(xiàng)目整合能力。我們以讓每一個(gè)夢(mèng)想脫穎而出為使命，1280元張家港做網(wǎng)站,已為上家服務(wù),為張家港各地企業(yè)和個(gè)人服務(wù),聯(lián)系電話:13518219792

SQL注入是一種代碼注入技術(shù)，過(guò)去常常用于***數(shù)據(jù)驅(qū)動(dòng)性的應(yīng)用，比如將惡意的SQL代碼注入到特定字段用于實(shí)施******等。

SQL注入的成功必須借助應(yīng)用程序的安全漏洞，例如用戶輸入沒(méi)有經(jīng)過(guò)正確地過(guò)濾（針對(duì)某些特定字符串）或者沒(méi)有特別強(qiáng)調(diào)類(lèi)型的時(shí)候，都容易造成異常地執(zhí)行SQL語(yǔ)句。

SQL注入是網(wǎng)站***中最常用的***技術(shù)，但是其實(shí)SQL注入可以用來(lái)***所有的SQL數(shù)據(jù)庫(kù)。

SQL注入的實(shí)現(xiàn)

創(chuàng)建SQLdb數(shù)據(jù)庫(kù)

CREATE DATABASE SQLdb;

創(chuàng)建user_info表

CREATE TABLE `user_info` ( `id` int(11) NOT NULL AUTO_INCREMENT, `username` varchar(32) DEFAULT NULL, `password` varchar(32) DEFAULT NULL, PRIMARY KEY (`id`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8;

插入一條用戶數(shù)據(jù)

測(cè)試的用戶名是ansheng，密碼as

insert into user_info(username,password) values("ansheng","as");

Python代碼

app.py文件

#!/usr/bin/env python # -*- coding:utf-8 -*- import tornado.ioloop import tornado.web import pymysql class LoginHandler(tornado.web.RequestHandler): def get(self, *args, **kwargs): self.render('login.html') def post(self, *args, **kwargs): username = self.get_argument('username', None) pwd = self.get_argument('pwd', None) conn = pymysql.connect(host='127.0.0.1', port=3306, user='root', passwd='as', db='sqldb') cursor = conn.cursor() temp = "select username from user_info where username='%s' and password = '%s'" %(username, pwd,) effect_row = cursor.execute(temp) result = cursor.fetchone() conn.commit() cursor.close() conn.close() if result: self.write('登錄成功') else: self.write('登錄失敗') application = tornado.web.Application([ (r"/login", LoginHandler), ]) if __name__ == "__main__": application.listen(8888) tornado.ioloop.IOLoop.instance().start()

HTML代碼

login.html與app.py文件在同級(jí)

<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> </head> <body> <form action="/login" method="post"> <input type="text" name="username" placeholder="用戶名" /> <input type="text" name="pwd" placeholder="密碼" /> <input type="submit" /> </form> </body> </html>

演示效果

打開(kāi)瀏覽器，輸入地址http://127.0.0.1:8888/login

填寫(xiě)內(nèi)容如下：

用戶名：asas ' or 1 = 1-- asd
密碼：隨便填寫(xiě)一串字母

如圖：

9Python全站之路系列之MySQL SL注入

當(dāng)點(diǎn)擊提交的時(shí)候是否會(huì)跳轉(zhuǎn)到登陸成功頁(yè)面？如果你的代碼和我一樣，那么就會(huì)跳轉(zhuǎn)到登陸成頁(yè)面。

為什么出現(xiàn)這種問(wèn)題？

出現(xiàn)這個(gè)問(wèn)題的主要原因就是因?yàn)槲覀兪褂昧?code>字符串拼接的方式來(lái)進(jìn)行SQL指令的拼接。

SQL指令拼接代碼

temp = "select username from user_info where username='%s' and password = '%s'" %(username, pwd,)

這是一個(gè)正常的SQL拼接出來(lái)的結(jié)果

select username from user_info where username='ansheng' and password = 'as'

這是一個(gè)非正常的SQL拼接出來(lái)的結(jié)果

select username from user_info where username='asas' or 1 = 1 -- asd' and password = 's'

聰明的你是否已經(jīng)看到其中的玄機(jī)了呢？--

如何防止？

通過(guò)Python的pymysql模塊來(lái)進(jìn)行SQL的執(zhí)行，在pymysql模塊內(nèi)部會(huì)自動(dòng)把”'“(單引號(hào)做一個(gè)特殊的處理，來(lái)預(yù)防上述的錯(cuò)誤

...... effect_row = cursor.execute("select username from user_info where username='%s' and password = '%s'", (username, pwd)) ......

#Python全棧之路 #Sql注入

另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)cdcxhl.cn，海內(nèi)外云服務(wù)器15元起步，三天無(wú)理由+7*72小時(shí)售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國(guó)服務(wù)器、虛擬主機(jī)、免備案服務(wù)器”等云主機(jī)租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡(jiǎn)單易用、服務(wù)可用性高、性價(jià)比高”等特點(diǎn)與優(yōu)勢(shì)，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場(chǎng)景需求。

當(dāng)前文章：9Python全站之路系列之MySQLSL注入-創(chuàng)新互聯(lián)
分享網(wǎng)址：http://aaarwkj.com/article18/hsidp.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站營(yíng)銷(xiāo)、網(wǎng)站維護(hù)、網(wǎng)站收錄、云服務(wù)器、建站公司、微信小程序

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源：創(chuàng)新互聯(lián)

猜你還喜歡下面的內(nèi)容

欧美一级特黄大片做受成人-亚洲成人一区二区电影-激情熟女一区二区三区-日韩专区欧美专区国产专区

9Python全站之路系列之MySQLSL注入-創(chuàng)新互聯(lián)

Python全棧之路系列之MySQL SQL注入

SQL注入的實(shí)現(xiàn)

為什么出現(xiàn)這種問(wèn)題？

如何防止？

如何防止？