当前位置：首页 > news >正文

SQL注入SQL盲注

news 来源：原创 2025/7/15 10:17:48

SQL注入（SQL Injection）和 SQL盲注（Blind SQL Injection）是两种常见的Web安全攻击技术，用于攻击应用程序并操纵其与数据库的交互。以下是两者的概念和区别：

1. SQL注入

定义：

SQL注入是通过将恶意的SQL语句插入到输入字段中（如用户名、密码、搜索框等），以欺骗服务器执行未经授权的SQL查询的技术。

特点：

攻击者可以直接观察到攻击结果。
通常用于攻击不安全的SQL查询，比如登录认证、数据查询等。
可以读取、修改甚至删除数据库中的数据。

例子：

假设应用程序中的登录逻辑如下：

SELECT * FROM users WHERE username = '$username' AND password = '$password';

攻击者输入：

用户名：' OR 1=1 --
密码：任意内容

这会将SQL语句转化为：

SELECT * FROM users WHERE username = '' OR 1=1 --' AND password = '任意内容';

其中，--是SQL中的注释符号，后面的部分会被忽略。结果是条件1=1总是成立，允许攻击者绕过身份验证。

危害：

数据泄露
数据篡改
权限提升
数据库破坏

2. SQL盲注

定义：

SQL盲注是一种无法直接获取查询结果的SQL注入形式，攻击者通过分析服务器的响应时间、HTTP状态码、页面内容的变化等间接推断数据库信息。

特点：

适用于未返回具体错误信息或数据的场景。
通常依赖布尔条件（布尔盲注）或时间延迟（时间盲注）来获取信息。
攻击效率较低，但同样危险。

类型：

布尔盲注
利用布尔条件（如true或false）来判断查询是否成功。
示例：

SELECT * FROM users WHERE id = 1 AND (SUBSTRING((SELECT database()), 1, 1) = 't');

如果页面返回正常，说明数据库名的第一字符是t，否则不是。
时间盲注
利用SQL的SLEEP()函数引入延迟，判断条件是否成立。
示例：

SELECT * FROM users WHERE id = 1 AND IF((SELECT database())='test', SLEEP(5), 0);

如果页面延迟5秒，则可以判断数据库名为test。

危害：

与SQL注入相同，但获取数据效率较低。

SQL注入与SQL盲注的对比

特性	SQL注入	SQL盲注
是否直接返回结果	是	否
攻击效率	高	较低
适用场景	能显示错误信息或直接返回查询结果的场景	没有直接输出结果或严格限制错误信息的场景
难度	较低	较高
常用技术	拼接恶意SQL语句直接操作数据库	布尔盲注、时间盲注、基于HTTP状态码的盲注等

防护措施

输入验证与过滤：
- 使用白名单机制，严格限制输入的合法字符。
- 对输入数据进行转义处理。
参数化查询（Prepared Statements）：
- 使用参数化查询或ORM框架，避免直接拼接SQL语句。
最小化数据库权限：
- 应用程序用户只授予最低权限，避免操作敏感数据。
安全日志与监控：
- 实时检测SQL异常行为。
- 配置防火墙规则，阻止常见SQL注入行为。
使用Web应用防火墙（WAF）：
- 自动检测和拦截SQL注入攻击。

通过加强输入验证、代码审计和安全意识，可以有效降低SQL注入和盲注的风险。

SQL注入SQL盲注

SQL注入（SQL Injection）和 SQL盲注（Blind SQL Injection）是两种常见的Web安全攻击技术，用于攻击应用程序并操纵其与数据库的交互。以下是两者的概念和区别： 1. SQL注入定义： SQL注入是通过将…...

编程日记 2025/7/15 10:17:48

汽车轮毂结构分析有哪些？国产3D仿真分析实现静力学+模态分析

本文为CAD芯智库原创，未经允许请勿复制、转载！ 之前分享了如何通过国产三维CAD软件如何实现「汽车/汽配行业产品设计」，兼容NX（UG）、Creo（Proe），轻松降低企业上下游图纸交互成本等。…...

编程日记 2025/7/14 17:11:48

C++设计模式之组合模式在解决层次性问题中的好处

采用组合模式在处理层次型问题时，会带来以下重要好处： 简化客户端操作： 客户端代码可以统一地处理单个对象和组合对象，而无需区分它们。这意味着客户端可以使用相同的操作来对待所有对象，无论它们是简单的叶子节点还是…...

编程日记 2025/7/15 8:34:49

基于大数据爬虫+SpringBoot+Hive的网络电视剧收视率分析与可视化平台系统(源码+论文+PPT+部署文档教程等)

博主介绍：CSDN毕设辅导第一人、全网粉丝50W,csdn特邀作者、博客专家、CSDN新星计划导师、Java领域优质创作者,博客之星、掘金/华为云/阿里云/InfoQ等平台优质作者、专注于Java技术领域和学生毕业项目实战,高校老师/讲师/同行前辈交流✌ 技术范围：SpringB…...

编程日记 2025/7/15 8:50:52

【ESP32CAM+Android+C#上位机】ESP32-CAM在STA或AP模式下基于UDP与手机APP或C#上位机进行视频流/图像传输

前言：本项目实现ESP32-CAM在STA或AP模式下基于UDP与手机APP或C#上位机进行视频流/图像传输。本项目包含有ESP32源码（arduino）、Android手机APP源码以及C#上位机源码，本文对其工程项目的配置使用进行讲解。实战开发，亲测无误。 AP模式，就是ESP32发出一个WIFI/热点提供给电…...

编程日记 2025/7/14 10:34:52

️ 如何优化爬虫程序以提高抓取效率？

在开发爬虫程序时，提高抓取效率是至关重要的。以下是一些常见的性能优化策略，可以帮助你优化Java爬虫程序： 多线程与分布式抓取： 利用多线程技术可以显著提高爬虫的抓取速度。例如，在WebMagic中，可以通过配…...

编程日记 2025/7/15 9:06:28

深入理解 MySQL 锁机制：分类、实现与优化

在高并发的数据库应用中，锁机制是保障事务在操作数据库时数据一致性和完整性的重要工具。MySQL 提供了多种类型的锁，不同的存储引擎和场景下的实现各具特点。本篇文章将详细介绍 MySQL 锁的分类、实现（主动与被动）以及优化策略。 …...

编程日记 2025/7/15 9:48:12

python-docx -- 读取word页眉、页脚

文章目录 sections介绍访问section添加section页眉、页脚综合案例：sections介绍 word支持section的概念，即一个文档的划分部分，不同的部分均包含相同的页面布局设置，如相同的边距、页面方向等；在每个section中可以定义页眉、页脚来应用于该section下的所有页面；大部分wor…...

编程日记 2025/7/15 9:47:22

DRM(数字权限管理技术)防截屏录屏----ffmpeg安装

提示：ffmpeg安装文章目录 [TOC](文章目录) 前言一、下载二、配置环境变量三、运行ffmpeg四、文档总结前言 FFmpeg是一套可以用来记录、转换数字音频、视频，并能将其转化为流的开源计算机程序。采用LGPL或GPL许可证。它提供了录制、转换以及流化音视频的…...

编程日记 2025/7/15 9:15:29

【Linux 篇】Docker 启动和停止的精准掌舵：操控指南

文章目录【Linux 篇】Docker 启动和停止的精准掌舵：操控指南前言docker基本命令1. 帮助手册 2. 指令介绍常用命令1. 查看镜像2. 搜索镜像3. 拉取镜像4. 删除镜像5. 从Docker Hub拉取容器的相关命令1. 查看容器2. 创建与启动容器3. 查看镜像4. 启动容器5. 查看容…...

编程日记 2025/7/15 9:25:08

【电路设计】基于CD4511的八路抢答器电路解析

文章目录 0 前言1 CD45112 电路解析3 锁存分析4 电路优化思考5 总结 0 前言最近收拾东西的时候找到了本科阶段学电路焊接时焊的一个八路抢答器的电路板，如下图所示。一共有9个按键，左侧8个为抢答按键，依次对应1-8，按下之后会有…...

编程日记 2025/7/15 9:18:32

Python 爬虫入门教程：从零构建你的第一个网络爬虫

网络爬虫是一种自动化程序，用于从网站抓取数据。Python 凭借其丰富的库和简单的语法，是构建网络爬虫的理想语言。本文将带你从零开始学习 Python 爬虫的基本知识，并实现一个简单的爬虫项目。 1. 什么是网络爬虫？ 网络爬虫&#x…...

编程日记 2025/7/15 8:41:15

2024年11月27日Github流行趋势

项目名称：screenshot-to-code 项目维护者：abi clean99 sweep-ai kachbit vagusX项目介绍：通过上传截图将其转换为整洁的代码（支持HTML/Tailwind/React/Vue）。项目star数：62,429项目fork数：7,614…...

编程日记 2025/7/15 10:02:17

深入浅出摸透AIGC文生图产品SD（Stable Diffusion）

hihi，朋友们，时隔半年（24年11月），终于能腾出时间唠一唠SD了🤣，真怕再不唠一唠，就轮不到SD了，技术更新换代是在是太快！朋友们，最近（24年2月）是真的没时间整理笔记，每天都在疯狂的学习Stable Diffusion和WebUI & ComfyUI，工作实在有点忙，实践期间在飞书上…...

编程日记 2025/7/15 9:40:51

日志 //控制器中 //这种方法调用的话，在general_technology下按照日期写入日志 LogService::requestLog(general_technology,$this->baseUrl .$url,$params,$res); LogService::responseLog(general_technology/hebei_product_add_error, $syncData,$msg); LogSe…...

编程日记 2025/7/15 8:48:51

WPF ItemsControl控件

ItemsControl 是 WPF 中一个非常灵活的控件，用于显示一组数据项。它是一个基类，许多其他控件（如 ListBox, ListView, ComboBox 等）都是从 ItemsControl 继承而来。ItemsControl 的主要特点是它可以自定义数据项的显示方式&#xf…...

编程日记 2025/7/15 8:58:59

【Android+多线程】IntentService 知识总结：应用场景 / 使用步骤 / 源码分析

定义 IntentService 是 Android中的一个封装类，继承自四大组件之一的Service 功能处理异步请求 & 实现多线程应用场景线程任务需按顺序、在后台执行最常见的场景：离线下载不符合多个数据同时请求的场景：所有的任务都在同一个T…...

编程日记 2025/7/15 9:21:47

编译 LLVM 源码，使用 Clion 调试 clang

版权归作者所有，如有转发，请注明文章出处：https://cyrus-studio.github.io/blog/ 1. LLVM 简介 LLVM 是一个开源的编译器基础架构，最初由 Chris Lattner 于 2000 年在伊利诺伊大学开发，后来成为一个广泛应用于编译器和…...

编程日记 2025/7/15 1:31:17

ssm199旅游景点管理系统设计+jsp(论文+源码)_kaic

毕业设计（论文） 题目：旅游景点管理系统设计与实现摘要现代经济快节奏发展以及不断完善升级的信息化技术，让传统数据信息的管理升级为软件存储，归纳，集中处理数据信息的管理方式。本旅游景点管理系统…...

编程日记 2025/7/15 8:58:09

在英文科技论文中分号后面的单词首字母需不需要大写

英文科技论文中分号后面的单词首字母需不需要大写分号后完整句子的首字母规则：1. **首字母不大写**：2. **专有名词大写**：3. **特殊上下文**： 在分号后，即使后面是一个完整的句子（包含主语和谓语&#xff…...

编程日记 2025/7/15 9:37:13

＜项目代码＞YOLOv8 停车场空位识别＜目标检测＞

YOLOv8是一种单阶段（one-stage）检测算法，它将目标检测问题转化为一个回归问题，能够在一次前向传播过程中同时完成目标的分类和定位任务。相较于两阶段检测算法（如Faster R-CNN），YOLOv8具有更高的…...

编程日记 2025/7/14 12:05:40

微知-lspci访问到指定的PCIe设备的几种方式？（lspci -s bus；lspci -d devices）

通过bdf号查看 -s （bus） lspci -s 03:00.0通过vendor id或者device id等设备查看 -d （device） lspci -d 15b3: #这里是vendor号，所以在前面 lspci -d :1021 #这里是设备号，所以要:在前vendorid和deviceid…...

编程日记 2025/7/15 8:42:00

《Opencv》基础操作＜1＞

目录一、Opencv简介主要特点： 应用领域： 二、基础操作 1、模块导入 2、图片的读取和显示 （1）、读取 （2）、显示 3、图片的保存 4、获取图像的基本属性 5、图像转灰度图 6、图像的截取 7、图…...

编程日记 2025/7/15 1:28:17

数据湖的概念（包含数据中台、数据湖、数据仓库、数据集市的区别）--了解数据湖，这一篇就够了

文章目录一、数据湖概念1、企业对数据的困扰2、什么是数据湖3、数据中台、数据湖、数据仓库、数据集市的区别网上看了好多有关数据湖的帖子，还有数据中台、数据湖、数据仓库、数据集市的区别的帖子，发现帖子写的都很多，而且专业名词很多&am…...

编程日记 2025/7/14 23:44:41

mysql-分析MVCC原理

一、MVCC简介 MVCC是一种用来解决读写冲读的无锁并发控制，也就是为事务分配单增长的时间戳，为每个修改保存一个版本，版本与事务时间戳关联，读操作只读该事务开始前的数据库的快照，所以MVCC可以为数据库解决一些问题。…...

编程日记 2025/7/12 5:30:58

【拥抱AI】一文讲述如何配置Milvus？

配置Milvus是一个重要的步骤，它可以帮助你更好地管理和优化向量数据库的性能。以下是一些常见的配置选项和步骤，帮助你设置和优化Milvus。 1. 安装Milvus 首先，确保你已经安装了Milvus。你可以使用Docker来快速部署Milvus。以下是一个基本的…...

编程日记 2025/7/14 14:39:06

Python学习35天

# 定义父类 class Computer: CPUNone MemoryNone diskNone def __init__(self,CPU,Memory,disk): self.disk disk self.Memory Memory self.CPU CPU def get_details(self): return f"CPU:{self.CPU}\tdisk:{self.disk}\t…...

编程日记 2025/7/11 5:07:16

Windows环境下搭建Qwen开发环境

1 参考文献【官方指引】https://qwen.readthedocs.io/en/latest/ 【ModelScope训练】https://modelscope.cn/docs/%E4%BD%BF%E7%94%A8Tuners 【CUDA下载安装教程】https://blog.csdn.net/changyana/article/details/135876568 【安装cuDNN】https://developer.nvidia.com/…...

编程日记 2025/7/13 19:46:27

jenkins 2.346.1最后一个支持java8的版本搭建

1.jenkins下载下载地址：Index of /war-stable/2.346.1 2.部署创建目标文件夹，移动到指定位置创建一个启动脚本，deploy.sh #!/bin/bash set -eDATE$(date %Y%m%d%H%M) # 基础路径 BASE_PATH/opt/projects/jenkins # 服务名称。同时约定部…...

编程日记 2025/7/13 20:07:47

黑马程序员Java项目实战《苍穹外卖》Day01

苍穹外卖-day01 课程内容软件开发整体介绍苍穹外卖项目介绍开发环境搭建导入接口文档Swagger 项目整体效果展示： 管理端-外卖商家使用用户端-点餐用户使用当我们完成该项目的学习，可以培养以下能力： 1. 软件开发整体介绍作为一…...

编程日记 2025/7/10 19:10:18

二叉树：堆的建立和应用

在建立堆之前，我们要知道什么是树和二叉树树树是一种非线性的数据结构，它是由n（n>0）个结点组成的一个具有层次关系的集合，之所以把它叫做树，是因为它长得像一棵倒挂的树，也就是根在上面&…...

编程日记 2025/7/14 2:13:44

手搓人工智能-最优化算法（1）最速梯度下降法，及推导过程

“Men pass away, but their deeds abide.” 人终有一死，但是他们的业绩将永存。 ——奥古斯坦-路易柯西目录前言简单函数求极值复杂函数梯度法求极值泰勒展开梯度，Nabla算子 Cauchy-Schwarz不等式梯度下降算法算法流程梯度下降法…...

编程日记 2025/7/15 9:37:36

【大数据学习 | Spark-SQL】Spark-SQL编程

上面的是SparkSQL的API操作。 1. 将RDD转化为DataFrame对象 DataFrame： DataFrame是一种以RDD为基础的分布式数据集，类似于传统数据库中的二维表格。带有schema元信息，即DataFrame所表示的二维表数据集的每一列都带有名称和类型。这样的数…...

编程日记 2025/7/12 23:06:00

go+gin+mysql+gorm快速实现增删改查接口

Gin 是一个用 Go (Golang) 编写的轻量级但功能强大的Web框架，具有极高的性能。适合开发API和微服务。 1.安装 Gin 前置任务，首先你本地需要安装过go语言环境 go get -u github.com/gin-gonic/gin这里直接结合项目代码解析gin的主要功能： …...

编程日记 2025/7/9 4:31:41

【国产MCU】-GD32F470-串行外设接口（SPI）

串行外设接口（SPI）文章目录串行外设接口（SPI）1、SPI介绍1.1 SPI特性1.2 SPI信号1.3 SPI 时序和数据帧格式1.4 NSS 功能1.5 SPI运行模式2、SPI控制器寄存器列表3、SPI控制器驱动API介绍4、SPI应用4.1 SPI初始化流程4.2 数据发送与接收串行外设接口（Serial Peripheral Int…...

编程日记 2025/7/14 2:14:00

RabbitMQ 集群

文章目录前言单机多节点搭建集群创建RabbitMQ节点停止服务并重置将节点加入到集群中查看集群状态宕机结论前言 RabbitMQ 作为消息中间件，可以与多个生产者和消费者进行绑定，但是如何只有一台 RabbitMQ 服务的话，那么这个 RabbitMQ 就需要…...

编程日记 2025/7/10 5:17:35

Qt实现窗口内的控件自适应窗口大小

前言：因为有时候窗口内的控件比较大，但是为了同时操作多个窗口，希望可以根据情况，在调整窗口大小时，控件能自适应大小，于是通过遍历整个界面内的控件，并在调整大小的事件中按比率调整控件大小实…...

编程日记 2025/7/11 7:54:19

Android基本概念及控件

Android是Google公司基于Linux平台开发的主要应用于智能手机及平板电脑的操作系统。 ART模式与Dalvik模式最大的不同在于:在启用ART模式后，系统在安装应用程序的时候会进行一次预编译，并先将代码转换为机器语言存储在本地,这样在运行程序时就不会每次都…...

编程日记 2025/7/13 16:37:52

云计算的计算包括哪些内容

‌云计算的计算主要包括以下几种类型‌： ‌分布式计算‌：分布式计算是一种计算方法，它将大型问题分解成多个小任务，然后分配给多个计算机进行处理。这种方法可以提高计算效率和可靠性‌1。‌并行计算‌：并行计算是同时…...

编程日记 2025/7/13 17:21:30

D81【 python 接口自动化学习】- python基础之HTTP

day81 requests请求session用法学习日期：20241127 学习目标：http定义及实战 -- requests请求session用法学习笔记： requests请求session用法 import requests# 创建一个会话 reqrequests.session() url "http://sellshop.5istud…...

编程日记 2025/7/14 8:40:32

嵌入式驱动开发详解2（设备挂载问题）

文章目录前言设备号设备号的组成设备号的分配静态分配动态分配驱动挂载与卸载设备节点创建驱动挂载出现问题前言驱动的设备挂载和卸载是十分重要的内容，一旦操作不当可能会导致系统崩溃，接下来我将用字符设备的驱动挂载原理进行详细讲解&#xff0c…...

编程日记 2025/7/13 19:35:33

Java全栈开发：宠物医院管理系统项目实战

Java全栈开发：宠物医院管理系统项目实战项目介绍本文将介绍一个基于Spring Boot + Vue.js的宠物医院管理系统的开发过程。该系统主要用于帮助宠物医院管理日常运营，包括患者管理、预约挂号、处方开具等功能。技术栈后端技术 Spring Boot 2.7.xSpring SecurityMyBatis…...

编程日记 2025/7/9 16:32:07

【设计模式】1. 构建器模式（Builder Pattern）是一种创建型设计模式

构建器模式（Builder Pattern）是一种创建型设计模式，用于分步骤构建复杂对象，同时允许按照不同的需求生成不同的表示。该模式将对象的构建过程与其表示分离，使得相同的构建过程可以创建不同的对象。核心思想构建器模…...

编程日记 2025/7/10 17:48:57

Apache Zeppelin：一个基于Web的大数据可视化分析平台

今天给大家推荐一下 Apache Zeppelin，它是一个基于 Web 的交互式数据接入、数据分析、数据可视化以及协作文档 Notebook，类似于 Jupyter Notebook。 Apache Zeppelin 支持使用 SQL、Java、Scala、Python、R 等编程语言进行数据处理和分析，同时…...

编程日记 2025/7/14 6:28:03