SQL 注入，永不过时的黑客技术(2)

　　sqlmap的界面

　　“他们会使用Google来搜索那些典型的容易受到SQL注入脚本攻击的URL”， AI-Bassam说。“他们还经常使用脚本来检查所有URL，用自动化的方法来试探是否存在漏洞”

　　“你甚至可以教一个4岁的孩子来做这种事情[译者注：汗～～我还不如个4岁的孩子]”, AI-Bassam补充道，强调这整个过程简单到令人发指的地步。确实，Hunt就曾经上传过一个视频，视频上显示他是怎么教他3岁的儿子用Havij来实施SQL注入攻击的[译者注：这是真爱啊，我坚决不会让我女儿走上计算机这条不归路]

　　“你把要攻击的URL输入进来，然后所有数据就出来了”，Hunt向Motherboard介绍道。在YouTube上有太多教程来介绍如何实施SQL注入攻击了。

　　事实上，已经有很多解决方案被网站开发人员用来防止SQL注入攻击了和避免客户信息或者公司信息泄漏了。而且那些解决方案一经存在好几年了。

　　所有这些解决方案的核心都是采用“prepared statments” (预编译声明?): 当SQL语句在数据库中执行是，绝对不能直接执行用户的输入。

　　如果这些解决方案直接有效，那为何SQL注入攻击还是这么猖獗呢?

　　“使用prepared staement的好处是它们可以从语义层面上杜绝任何在开发者意料之外的输入，这些输入可以通过构造一些SQL语法，让数据库查询语句从任意一张数据表中获取一条额外的数据”，Mike Schema在给Motherboard的一封email中如此说导，他是雅虎的一名高级经理、软件工程师。

　　另外一种做法是“使用SQL库对用户输入做一些净化操作”，AI-Bassam建议。简而言之，就是将输入中任何潜在的恶意部分去除掉。

　　那么，如果SQL注入如此简单，以至于小孩子都能用，而且解决方案又这么直接有效，为什么SQL注入攻击还这么猖獗呢?

　　“任何一名严谨的程序员都应该知道SQL注入攻击，但是仍然有大量的程序员缺乏经验，所以公司在雇佣某人的是偶，他可能没有受到过任何关于如何消除风险的训练”， AI-Bassam指出。除此之外，“他们的经理们往往只要求开发出能用的软件，而不是安全的软件”。

　　来自雅虎的Schema也认同这一点，并且补充“有些时候，一些小应用功能有限，要求很快就把东西做出来”，导致开发者经常忽略一些应对各种攻击的工作，尽管他们实施起来也不是很困难。

　　Hunt不是那么宽容，他也不认同所有的过错都来自于高层管理的压力。相反，他认为现在有网上有这么多教程详细的向开发人员讲解如何避免SQL注入攻击，对，是详细的教程，不仅仅是一些好的建议。“这些年，我看到很多有关如何避免明显的SQL注入风险的教程”，他说到。

　　随着互联网黑客们不停的在YouTube上分享他们的SQL注入攻击经验，网站的开发者们也没有闲着。“我们有能力的人站出来，分享他们的专业知识，而不仅仅是把自己的事情做好就行了”，Hunt说。

　　最后，这些网站的安全和他们的数据安全归根到底还是网站开发者自己负责的。这意味着SQL注入攻击和漏洞还会存在，至少在未来一段时间内不会消失。[译者注：估计原作者的意思是安全还是由开发者自己负责，不在于黑客不去攻击，自己开发的时候不注意，还是没办法避免被攻破的～～]

原文转自：http://www.testwo.com/article/630