web应用的安全测试

一、手动测试 1、SQL注入 原理：将有恶意的SQL语句作为参数进行输入，使得服务器执行该恶意的SQL命令，从而获得数据库的相关信息或篡改数据库的数据。 原因：开发对输入没有做细致的过滤。 防护：加密、过滤输入、使用自定义的错误提示等。 注入： 1）先输入猜测的表名，如果返回成功， And (Select count(*) from 表名)<>0 说明该表名正确；然后再猜测列名，同理，如果返回成功

>>阅读原文<<