防止SQL注入攻击的注意事项
防止SQL注入攻击的注意事项
一. SQL Injection及其防范的基本知识
可能大家都知道，SQL注入主要是利用字符型参数输入的检查漏洞。
比如说，程序中有这样的查询：
string sql = "SELECT * from SiteUsers WHERE UserName='" + userName + "'";
其中的userName参数是从用户界面上输入的。
如果是正常的输入，比如“Peter”，SQL语句会串接成：
"SELECT * from SiteUsers WHERE UserName='Peter'";
如果攻击者输入的是下面的字符串：
"xxx'; DROP TABLE SiteUsers WHERE 1=1 or UserName='xxx"
此时SQL语句会变成下面这个样子：
"SELECT * from SiteUsers WHERE UserName='xxx'; DROP TABLE SiteUsers WHERE 1=1 or UserName='xxx'";
其结果，得到执行的是两个SQL语句，第二个语句的后果就比较严重了。
防止注入的方法其实很简单，只要把用户输入的单引号变成双份就行了：
string sql = "SELECT * from SiteUsers WHERE UserName='" + userName.Replace("'","''") + "'";
这样，如果输入的是上面那种恶意参数，整个SQL语句会变成：
"SELECT * from SiteUsers WHERE UserName='<STRONG>xxx''; DROP TABLE SiteUsers WHERE 1=1 or UserName=''xxx</STRONG>'";
被执行的还是一个SQL语句，整个粗体部分都成为参数值。
一般的做法，是在程序中统一调用下面这样的共通函数，对参数进行处理：
private string SafeSqlLiteral(string inputSQL)
{
return inputSQL.Replace("'", "''");
}
由于很多人会疏忽这种单引号替换，所以真正安全的做法是使用参数化查询。
二. 参数化查询
在ADO.NET中，提供了一种参数化查询方法，可以替代上面这种拼接SQL语句的做法。
参数化查询的具体实现是：
（1）组织一个夹带参数名的SQL语句，作为SqlCommand的CommandText。
（2）使用Parameters.Add方法设置参数值。
（3）执行SqlCommand。（这个步骤跟上面那种拼接SQL的办法是一样的。）
下面是一个例子：
string sql = "SELECT T2.dep_code, T2.dep_name from DEP ";
sql += " WHERE T2.dep_name like ('%'+ <STRONG>@Param</STRONG> + '%') ";
SqlCommand sqlCommand = new SqlCommand(sql,cn);
sqlCommand.Parameters.Add(new SqlParameter("Param",s);
其中的@Param就是参数名，s则是用户输入的查询条件字串。
（顺�
相关文档：
先开启服务器配置选项：
EXEC sp_configure 'show advanced options', 1
RECONFIGURE
EXEC sp_configure 'xp_cmdshell', 1
RECONFIGURE
/** 导出文本文件
EXEC master..xp_cmdshell 'bcp dbname..tablename out c:\DT.txt -c -S servername -U sa -P password'
或
EXEC master..xp_cmdshell ' ......
TITLE: SQL Server 安装程序失败。
------------------------------
SQL Server 安装程序遇到以下错误:
MsiGetProductInfo 无法检索 Product Code 为“{95120000-00B9-0409-0000-0000000FF1CE}”的包的 ProductVersion。错误代码: 1605。。
遇到这个错误时，解决方法如下：
当系统提示如 {95120000-0 ......
使用过SQL Server的人应该都清楚，SQL Server常用的有两种认证方式，一种是本地系统账户认证（Windows Authentication ），一种是使用用户名和密码（SQL Server Authentication ），第二种认证方式必须启用SQL Server的混合模式。
1.Windows Authentication连接部分代码段：
<?php
$serverName = "(local)";
$co ......
