SQL 注入（SQL Injection）

SQL 注入（SQL Injection，简称 SQLi）是一种利用网站程序对用户输入过滤不严的缺陷，将恶意 SQL 语句「注入」到数据库查询中执行的攻击方式。

概述

绝大多数网站背后都有一个数据库，程序通过 SQL 语句读写用户名、密码、订单等数据。如果开发者直接把用户在登录框、搜索框、网址参数里填写的内容拼接进 SQL 语句，攻击者就可以精心构造输入，改变语句原本的含义。最经典的例子是在登录框输入 ' OR '1'='1 之类的内容，让查询条件永远成立，从而绕过密码验证直接登录。

SQL 注入历史悠久，早在 Web 兴起之初就被广泛利用，长期位居 OWASP 十大 Web 安全风险榜单前列。历史上多起大规模用户数据泄露事件都与它有关，俗称的「拖库」（把整个数据库拖走）很多就是通过 SQL 注入实现的。尽管防御方法早已成熟，但由于老旧系统和不规范的开发习惯大量存在，它至今仍是渗透测试和黑客攻击中最常见的漏洞类型之一。

主要特点

• 门槛低、危害大：只需浏览器就能手工尝试，也有 sqlmap 等自动化工具批量检测利用。
• 危害链条长：轻则泄露数据，重则篡改、删除数据，甚至借数据库权限执行系统命令、控制整台服务器。
• 形式多样：包括联合查询注入、报错注入、布尔盲注、时间盲注、宽字节注入等多种手法。
• 根源统一：本质都是「把用户输入当成了代码」，属于典型的注入类漏洞，与 XSS 同属输入验证问题。

如何防御

• 参数化查询（预编译语句）：让输入永远作为数据而非代码执行，是最根本的防御手段。
• 使用 ORM 框架：主流开发框架的数据库层默认做了参数化处理。
• 最小权限原则：网站连接数据库的账号只给必要权限，降低被攻破后的损失。
• 部署 WAF：Web 应用防火墙可拦截常见注入特征，作为纵深防御的补充。

常见问题

问：SQL 注入和 XSS 有什么区别？答：两者都源于输入过滤不严，但 SQL 注入攻击的是服务器端数据库，目标是数据本身；XSS 注入的是网页脚本，攻击的是访问网页的其他用户浏览器。

问：现在的网站还会有 SQL 注入漏洞吗？答：会。虽然现代框架默认参数化查询已大幅减少此类漏洞，但老旧系统、手写拼接 SQL 的代码以及不规范的二次开发中仍然常见。

问：普通用户能做什么防范？答：SQL 注入主要靠网站方修复，普通用户能做的是不同网站使用不同密码、开启两步验证，即使某个网站被「拖库」也能减小连带损失。