第一步：很多新手從網(wǎng)上下載SQL通用防注入系統(tǒng)的程序，在需要防范注入的頁(yè)面頭部用 來(lái)防止別人進(jìn)行手動(dòng)注入測(cè)試（如圖1）。
     
      可是如果通過(guò)SQL注入分析器就可輕松跳過(guò)防注入系統(tǒng)并自動(dòng)分析其注入點(diǎn)（圖2）。然后只需要幾分鐘，你的管理員賬號(hào)及密碼就會(huì)被分析出來(lái)（圖3）。
     
      第二步：對(duì)于注入分析器的防范，筆者通過(guò)實(shí)驗(yàn)，發(fā)現(xiàn)了一種簡(jiǎn)單有效的防范方法。首先我們要知道SQL注入分析器是如何工作的。在操作過(guò)程中，發(fā)現(xiàn)軟件并不是沖著“admin”管理員賬號(hào)去的，而是沖著權(quán)限（如flag=1）去的。這樣一來(lái)，無(wú)論你的管理員賬號(hào)怎么變都無(wú)法逃過(guò)檢測(cè)。 
   

   　第三步：既然無(wú)法逃過(guò)檢測(cè)，那我們就做兩個(gè)賬號(hào)，一個(gè)是普通的管理員賬號(hào)，一個(gè)是防止注入的賬號(hào)，為什么這么說(shuō)呢？筆者想，如果找一個(gè)權(quán)限最大的賬號(hào)制造假象，吸引軟件的檢測(cè)，而這個(gè)賬號(hào)里的內(nèi)容是大于千字以上的中文字符，就會(huì)迫使軟件對(duì)這個(gè)賬號(hào)進(jìn)行分析的時(shí)候進(jìn)入全負(fù)荷狀態(tài)甚至資源耗盡而死機(jī)。下面我們就來(lái)修改數(shù)據(jù)庫(kù)吧。
　　1.對(duì)表結(jié)構(gòu)進(jìn)行修改。將管理員的賬號(hào)字段的數(shù)據(jù)類型進(jìn)行修改，文本型改成最大字段255（其實(shí)也夠了，如果還想做得再大點(diǎn)，可以選擇備注型），密碼的字段也進(jìn)行相同設(shè)置。
　　2.對(duì)表進(jìn)行修改。設(shè)置管理員權(quán)限的賬號(hào)放在ID1，并輸入大量中文字符（最好大于100個(gè)字）。
　　3.把真正的管理員密碼放在ID2后的任何一個(gè)位置（如放在ID549上）。
　　我們通過(guò)上面的三步完成了對(duì)數(shù)據(jù)庫(kù)的修改。

本文主題涉及術(shù)語(yǔ)：SQL注入