防止SQL注入攻击的注意事项
防止SQL注入攻击的注意事项
一. SQL Injection及其防范的基本知识
可能大家都知道，SQL注入主要是利用字符型参数输入的检查漏洞。
比如说，程序中有这样的查询：
string sql = "SELECT * from SiteUsers WHERE UserName='" + userName + "'";
其中的userName参数是从用户界面上输入的。
如果是正常的输入，比如“Peter”，SQL语句会串接成：
"SELECT * from SiteUsers WHERE UserName='Peter'";
如果攻击者输入的是下面的字符串：
"xxx'; DROP TABLE SiteUsers WHERE 1=1 or UserName='xxx"
此时SQL语句会变成下面这个样子：
"SELECT * from SiteUsers WHERE UserName='xxx'; DROP TABLE SiteUsers WHERE 1=1 or UserName='xxx'";
其结果，得到执行的是两个SQL语句，第二个语句的后果就比较严重了。
防止注入的方法其实很简单，只要把用户输入的单引号变成双份就行了：
string sql = "SELECT * from SiteUsers WHERE UserName='" + userName.Replace("'","''") + "'";
这样，如果输入的是上面那种恶意参数，整个SQL语句会变成：
"SELECT * from SiteUsers WHERE UserName='<STRONG>xxx''; DROP TABLE SiteUsers WHERE 1=1 or UserName=''xxx</STRONG>'";
被执行的还是一个SQL语句，整个粗体部分都成为参数值。
一般的做法，是在程序中统一调用下面这样的共通函数，对参数进行处理：
private string SafeSqlLiteral(string inputSQL)
{
return inputSQL.Replace("'", "''");
}
由于很多人会疏忽这种单引号替换，所以真正安全的做法是使用参数化查询。
二. 参数化查询
在ADO.NET中，提供了一种参数化查询方法，可以替代上面这种拼接SQL语句的做法。
参数化查询的具体实现是：
（1）组织一个夹带参数名的SQL语句，作为SqlCommand的CommandText。
（2）使用Parameters.Add方法设置参数值。
（3）执行SqlCommand。（这个步骤跟上面那种拼接SQL的办法是一样的。）
下面是一个例子：
string sql = "SELECT T2.dep_code, T2.dep_name from DEP ";
sql += " WHERE T2.dep_name like ('%'+ <STRONG>@Param</STRONG> + '%') ";
SqlCommand sqlCommand = new SqlCommand(sql,cn);
sqlCommand.Parameters.Add(new SqlParameter("Param",s);
其中的@Param就是参数名，s则是用户输入的查询条件字串。
（顺�
相关文档：
附:Oracle SQL Developer — 扩展交流中心
http://www.oracle.com/technology/global/cn/products/database/sql_developer/files/extensions.htm
之前作为一个Oracle Employee，却总是在使用PL/SQL Developer（而且是破解版），这实在有些说不过去，但是如何找到一个合心趁手的能够� ......
先开启服务器配置选项：
EXEC sp_configure 'show advanced options', 1
RECONFIGURE
EXEC sp_configure 'xp_cmdshell', 1
RECONFIGURE
/** 导出文本文件
EXEC master..xp_cmdshell 'bcp dbname..tablename out c:\DT.txt -c -S servername -U sa -P password'
或
EXEC master..xp_cmdshell ' ......
对In和exists的性能进行比较，首先要知道它们两者的区别。
in: 确定给定的值是否与子查询中的值或列表中的值相匹配。
exists: 指定一个子查询，检测行是否存在。
可分析它们的查询语句来得出真实的差别:
in
比如Select * from t1 where x in ( select y from t2 )
执行的过程相当于:
select *
from t1, ( ......
三步走。
<1>建立数据源
打开控制面板—>管理工具—>数据源 (ODBC)，或直接运行odbccp32.cpl命令。打开ODBC数据源管理器。添加一个系统数据源。选择Sql Server作为数据源的驱动程序，键入数据源名称demo，选择合适的sql server服务器，然后一路默认下去。（在后面的步骤中可以选择需要进行反向工程 ......
数据字典dict总是属于Oracle用户sys的。
1、用户：
select username from dba_users;
改口令
alter user spgroup identified by spgtest;
2、表空间：
select * from dba_data_files;
select * from dba_tablespaces;//表空间
select tablespace_name,sum(bytes), sum(b ......
