应用IDS防止SQL注入攻击
http://www.cnhacker.com/Hacker/Skills/200807/t20080731_6187.html
目前，针对应用及其后台数据库的应用级入侵已经变得越来越猖獗，如SQL注入、跨站点脚本攻击和未经授权的用户访问等。所有这些入侵都有可能绕过前台安全系统并对数据来源发起攻击。
为了对付这类威胁，新一级别的安全脱颖而出，这就是应用安全。这种安全技术将传统的网络和操作系统级入侵探测系统(IDS)概念应用于数据库(即应用)。与通常的网络或操作系统解决方案不同的是，应用IDS提供主动的、针对SQL的保护和监视，可以保护数以千计的预先包装或自行开发的Web应用。例如，应用IDS可以监视和防护关键的数据，使那些针对数据库的攻击，如缓冲区溢出和Web应用攻击等无法对数据库造成真正的损害，而且应用IDS还可以对这些事件进行审查。
应用安全与网络和主机安全之间存在很大的区别。应用是千差万别的，但攻击的目标总是相同的，也就是入侵数据库。由于应用使用SQL与数据库进行通信，因此好的应用IDS应当能够解析SQL，并且提供一种能够理解流量的内容，且又能与应用划清界线的客观保护层。
多数应用IDS都有三个组件。第一个是基于网络或主机的传感器。网络传感器连接到交换机上的 ......
无论是使用手工试探还是使用安全测试工具，恶意攻击者总是使用各种诡计从你的防火墙内部和外部攻破你的SQL服务器系统。既然黑客在做这样的事情。你也需要实施同样的攻击来检验你的系统的安全实力。这是理所当然的。下面是黑客访问和攻破运行SQL服务器的系统的十种诡计。
1.通过互联网直接连接
这些连接可以用来攻击没有防火墙保护、全世界都可以看到和访问的SQL服务器。DShield公司的端口报告显示了有多少系统在那里等待遭受攻击。我不理解允许从互联网直接访问这种重要的服务器的理由是什么。但是，我在我的评估中仍发现了这种安全漏洞。我们都记得SQL Slammer蠕虫对那样多的有漏洞的SQL服务器系统造成的影响。而且，这些直接的攻击能够导致拒绝服务攻击、缓存溢出和其它攻击。
2.安全漏洞扫描
安全漏洞扫描通常可以基本的操作系统、网络应用程序或者数据库系统本身的弱点。从没有使用SQL安全补丁、互联网信息服务(IIS)设置弱点到SNMP(简单网络管理协议)漏洞等任何事情都能够被攻击者发现，并且导致数据库被攻破。这些坏蛋也需使用开源软件、自己制作的工具软件或者商业性工具软件。有些技术高手甚至能够在命令提示符下实施手工黑客攻击。为了节省时间，我建议使用商业性 ......
一.注释
-- 单行注释，从这到本行结束为注释sql 语法，类似C++，c#中//
/* … */ 多行注释，类似C++，C#中/* … */
二.变量（int， smallint， tinyint， decimal，float，real， money ，smallmoneysql 语法， text ，image， char， varchar。。。。。。）
语法：
DECLARE
{
{@local_variable data_type}
} [，...n]
例如：
declare @ID int --申明一个名为@ID的变量，类型为int型
三.在SQL Server窗口中打印出变量的值
语法：
PRINT 'any ASCII text' | @local_variable | @@FUNCTION | string_expr
四.变量赋值
例如：
--从数据表中取出第一行数据的ID，赋值给变量@id，然后打印出来
Declare @ID int
Set @ID = (select top(1) categoryID from categories)
Print @ID
在SQL中，我们不能像代码那样直接给变量赋值，例如@id = 1，如果要达到这样的功能，可以这样写：
Declare @ID int
Set @ID = (select 1) -- 类似 @ID=1
Select @id=1 -- 类似 @ID=1
Print @ID
五.变量运算(+，-，*sql 语法，/，……)
以下必要时候省略变量申明
Set @ID = (select 1+5) --类似 @ID=1+5
Set @ID=(select 1-@ID) --类似 @ID=1-@ID
� ......
要确定所运行的 SQL Server 2005 的版本，请使用 SQL Server Management Studio 连接到 SQL Server 2005，然后运行以下 Transact-SQL 语句：
SELECT SERVERPROPERTY('productversion'), SERVERPROPERTY ('productlevel'), SERVERPROPERTY ('edition')
结果：
RTM 2005.90.1399
SQL Server 2005 Service Pack 1 2005.90.2047
SQL Server 2005 Service Pack 2 2005.90.3042
要确定所运行的 SQL Server 2000 的版本，请使用查询分析器连接到 SQL Server 2000，然后运行下列代码：
SELECT SERVERPROPERTY('productversion'), SERVERPROPERTY ('productlevel'), SERVERPROPERTY ('edition')
结果：
RTM 2000.80.194.0
SQL Server 2000 SP1 2000.80.384.0
SQL Server 2000 SP2 2000.80.534.0
SQL Server 2000 SP3 2000.80.760.0
SQL Server 2000 SP3a 2000.80.760.0
SQL Server 2000 SP4 2000.8.00.2039 ......
软件 ： Sql Server 2005
这里并不是SQL语法大全，以下是常用的语句，对（数据库、表、字段、数据）的增删改查，如果需要详细全面的Transact-SQL语句，可以查Sql Server联机丛书，那里是最全的资料，一般安装Sql Server都会默认安装。
打开Sql Server联机丛书
开始 à 程序 à Microsoft SQL Server 2005 à 文档与教程 à Sql Server联机丛书
打开Transact – SQL参考
Sql Server 2005 联机丛书 à Sql Server 语言参考 à Transact – SQL参考
数据库
创建
create database TestDB
修改
ALTER DATABASE TestDB MODIFY NAME = TestDataBase /* 少使用*/
查询所有
SELECT Name from Master..SysDatabases ORDER BY Name /* 一般很少使用*/
删除
drop database TestDB
表
创建
Create table house(
Rates int,
Grow int,
Place varchar(10),
Year int
)
查询所有
SELECT Name from SysObjects Where ......
一个非常简单的PHP生成缩略图的代码程序，参数及代码都算得上精简，有兴趣的朋友可以试下它的功能，有不太完善的地方还请指正。 非原创，来自网络
<?$FILENAME="image_name";
// 生成图片的宽度
$RESIZEWIDTH=400;
// 生成图片的高度
$RESIZEHEIGHT=400;
function ResizeImage($im,$maxwidth,$maxheight,$name){
$width = imagesx($im);
$height = imagesy($im);
if(($maxwidth && $width > $maxwidth) || ($maxheight && $height > $maxheight)){
if($maxwidth && $width > $maxwidth){
$widthratio = $maxwidth/$width;
$RESIZEWIDTH=true;
}
if($maxheight && $height > $maxheight){
$heightratio = $maxheight/$height;
$RESIZEHEIGHT=true;
}
if($RESIZEWIDTH && $RESIZEHEIGHT){
if($widthratio < $heightratio){
$ratio = $widthratio;
}else{
$ratio = $heightratio;
}
}elseif($RESIZEWIDTH){
$ratio = $widthratio;
}elseif($RESIZEHEIGHT){
$ratio = $heightratio;
}
$newwidth = $width * $ratio;
$newheight = $height * $ratio;
if(function_exists("imagecopyre ......
最新文章 :