文章从数据库服务器本身讲防止SQL注入设置以及在程序中关于防止SQL注入一些参数过滤方法总结，有需要学习的同学可参考一下。
-
-
1.不要使用sa用户连接数据库
2.新建一个public权限数据库用户，并用这个用户访问数据库
3.[角色]去掉角色public对sysobjects与syscolumns对象的select访问权限
4.[用户]用户名称-> 右键－属性－权限－在sysobjects与syscolumns上面打“×”
5.在SQL查询分析器中执行以下代码（失败表示权限正确，如能显示出来则表明权限太高）：
代码如下 复制代码
DECLARE @T varchar(255),
@C varchar(255)
DECLARE Table_Cursor CURSOR FOR
Select a.name,b.name from sysobjects a,syscolumns b
where a.id=b.id and a.xtype= 'u ' and (b.xtype=99 or b.xtype=35 or b.xtype=231 or b.xtype=167)
OPEN Table_Cursor
FETCH NEXT FROM Table_Cursor INTO @T,@C
WHILE(@@FETCH_STATUS=0)
BEGIN print @c
FETCH NEXT FROM Table_Cursor INTO @T,@C
END
CLOSE Table_Cursor
DEALLOCATE Table_Cursor
黑客攻击SQL Server时，首先采用的方法是执行master扩展存储过程xp_cmdshell命令来破坏数据库，为了数据库安全起见，最好禁止使用xp_cmdShell
xp_cmdshell可以让系统管理员以操作系统命令行解释器的方式执行给定的命令字符串，
并以文本行方式返回任何输出，是一个功能非常强大的扩展存贮过程。
一般情况下，xp_cmdshell对管理员来说也是不必要的，xp_cmdshell的消除不会对Server造成
任何影响。
可以将xp_cmdshell消除：
代码如下 复制代码
Use Master
Exec sp_dropextendedproc N'xp_cmdshell'
Go
如果需要的话，可以把xp_cmdshell恢复回来：
代码如下 复制代码
Use Master
Exec sp_addextendedproc N'xp_cmdshell'， N'xplog70.dll'
Go
如果你数据库理有D99_Tmp或者D99_cmd这两个表,那么你放心了
比如如果你的网站使用PHP+MYSQL开发的(现在流行的大多数CMS发布系统都是采用PHP)。
1.加强脚本层(也就是在PHP方面加强防注入手段)。使用Php.ini的magic_quotes_gpc选项。在开发过程中凡是需要接受用户输入的位置使用addslashes函数、intval函数，htmlspecialchars函数,htmlentities函数，并加入javascript防注入漏洞过滤函数(现成的过滤函数可以在eesafe网络安全交流区里找到)和PHP防注入漏洞过滤函数(现成的过滤函数可以在eesafe网络安全交流区里找到)。
2.加强数据层(也就是数据库方面加强防注入手段)。在网站和数据库进行连接时(也就是连接池)使用的用户具有普通权限就可以了，不要使用超级用户或数据库所有者的账号。对提交数据的类型和格式进行严格检查，确保数据类型符合要求，比如用mysql数据库系统函数isnumberic()判断传到数据库中的值是否是数字。另外在连接数据库时尽量使用sssl或ssh。
asp防sql注入程序
代码如下 复制代码
<%
dim sql_injdata
SQL_injdata = "'|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare"
SQL_inj = split(SQL_Injdata,"|")
If Request.QueryString<>"" Then
For Each SQL_Get In Request.QueryString
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.QueryString(SQL_Get),Sql_Inj(Sql_DATA))>0 Then
Response.Write "<Script Language=javascript>alert('注意：请不要提交非法请求！');history.back(-1)</Script>"
Response.end
end if
next
Next
End If
If Request.Form<>"" Then
For Each Sql_Post In Request.Form
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.Form(Sql_Post),Sql_Inj(Sql_DATA))>0 Then
Response.Write "<Script Language=javascript>alert('注意：请不要提交非法请求！');history.back(-1)</Script>"
Response.end
end if
next
next
end if
%>
多多使用SQL Server数据库自带的安全参数
为了减少注入式攻击对于SQL Server数据库的不良影响，在SQLServer数据库专门设计了相对安全的SQL参数。在数据库设计过程中，工程师要尽量采用这些参数来杜绝恶意的SQL注入式攻击。
如在SQL Server数据库中提供了Parameters集合。这个集合提供了类型检查和长度验证的功能。如果管理员采用了Parameters这个集合的话，则用户输入的内容将被视为字符值而不是可执行代码。即使用户输入的内容中含有可执行代码，则数据库也会过滤掉。因为此时数据库只把它当作普通的字符来处理。使用Parameters集合的另外一个优点是可以强制执行类型和长度检查，范围以外的值将触发异常。如果用户输入的值不符合指定的类型与长度约束，就会发生异常，并报告给管理员。如上面这个案例中，如果员工编号定义的数据类型为字符串型，长度为10个字符。而用户输入的内容虽然也是字符类型的数据，但是其长度达到了20个字符。则此时就会引发异常，因为用户输入的内容长度超过了数据库字段长度的限制。 |
