[TOC] ## SQL名称 ~~~ 结构查询语言 ~~~ ## 注入 ~~~ 在sql语句中注入一些字符，改变最后的结果 ~~~ ## SQL注入的原理 存在用户可以输入的参数，用户输入的参数与数据库进行拼接，sql语句带入到数据库当中执行，开发过程当中没有对用户输入的参数进行严格过滤，使得攻击者将sql语句带入到数据库当中执行 ## SQL注入的本质 ~~~ 把用户输入的参数，当作代码来执行，违背了数据与代码分离的原则 ~~~ ## SQL注入的要点 * 用户能控制输入的内容 * web应用程序把用户输入的内容带入到数据库当中执行 * 是否有回显，只是决定了注入的难度 ## sql注入的危害 * 暴露敏感文件 * 绕过后台 * 提权 * getshell