這是一個通常會被忽略的地方，但卻存在一定的危險性， 就是沒有許可權的人有可能借此破壞掉整個資料庫。試著在程式的查詢視窗輸入類似以下的查詢條件：<' use master drop database DBName --> 返回的查詢SQL語句或許是’select xxx from xxx where xxx=’’ use master drop database DBName -- xxx’，那麼整個資料庫就被刪除了！ //建議在查詢的程式中過濾掉drop,delete,truncate等敏感的SQL 關鍵字

這種手法稱為 隱碼 隱藏於資料中的程式碼 ==取之於斯,用之於斯==

------
==取之於斯,用之於斯==

SQL Injction 的問題嚴格講起來並不算是 bug, 發生這漏洞的責任應歸到程式開發者的身上, 因為程式若有這漏洞, 後端換成任何 DBMS 都一樣有可能出問題. 用過濾的方式處理這問題我是感覺比較麻煩, 我都是將查詢條件以 Parameter 的方式傳入, 這樣可省去不少麻煩.

(抱歉, 這篇是不小心多按一下所發出的文章) 發表人 - shieh2700 於 2003/05/25 02:37:42