SQL資料隱碼

SQL資料隱碼（SQL injection），參照：『維基百科～SQL資料隱碼攻擊』。

技術文件

• 『資料隱碼』SQL Injection的源由與防範之道 繁體中文(台灣)
• SQL Injection (資料隱碼)– 駭客的 SQL填空遊戲(上) 繁體中文(台灣)
• SQL Injection (資料隱碼)– 駭客的 SQL填空遊戲(下) 繁體中文(台灣)
• 安全的多層式部署 繁體中文(台灣) for MS-SQL
• SQL 資料隱碼 繁體中文(台灣) for MS-SQL
• Explained – SQL Injection
• SQL Injection Lab Modules

SQL資料隱碼攻擊範例

• 批量替换SQL2000被挂马字段

漏洞修正方式

• 參照：『維基百科～參數化查詢』（內含範例ADO.NET、PHP、JDBC、Cold Fusion）

ASP

• Preventing SQL Injections in ASP（ASP的參數化查詢）
• 如何從 ASP 呼叫 SQL Server 預存程序

ASP.NET

• How To: Protect From SQL Injection in ASP.NET（表單欄位驗證，或參數化查詢）

PHP

• PHP可開啟PHP的魔術引號（Magic quote）功能（自動將所有的網頁傳入參數，將單引號字元取代為連續2個單引號字元）。
  • 魔術引號 （寫在PHP.INI）

magic_quotes_gpc = On
magic_quotes_runtime = On
magic_quotes_sybase = On

MS-SQL

• 例如SQL Server 2005/2008的QUOTENAME()函數
• FixSqlInjection‎（大量資料修復用）