在正文开始前，非常感谢各位的订阅，这也极大鼓舞了我。我也仔细去看了之前写的，发现有些语义不通顺的地方，但并无大碍，我想告诉大家的是，我所发布的文章都是自己原创，字也是自己一个个码的，如果有什么不明白可以留言讨论。今天这篇文章讨论的是SQL注入攻击，这是一个非常古老的方法，但它所带来危害仍不可小觑，并且它一直很流行。之后的文章，我会向大家继续详细论述关于SQL注入。在这里我们先做一个简单概述！

 要讲到SQL注入，就必须介绍它的原理，任何方法都是如此。SQL注入攻击它是基于对数据库的恶意欺骗，将我们自己的SQL命令通过插入或提交给表单和域名字符串来做到发送恶意请求，通过这种方法使得对方的服务器执行我们相应的请求命令，从而达到攻破对方网站、服务器的目的。为了形象表达，我在这里做一个比喻。我们将自己的SQL命令请求当做要注射的药剂，而对方网站服务器则是接受注射的受体，我们通过注射药剂，使得受体有所反应（这里的反应就是要攻破对方服务器），所以说 基于SQL命令的攻击是注入攻击是十分恰当的。

  但这里的药剂（SQL命令）并非是随意添加使用的，而是事先准备好的，所以它的攻击方法有点”死”，但应用还是十分灵活的。我们提到的SQL语言，其实某种程度来说并非是大家熟悉的语言，它是一种解释型语言。例如JS，Perl以及Python等等也是这种语言。关于解释型语言和编译型语言的区别我们这里不做过多的赘述，希望大家下去自行了解。凡是基于解释型语言的恶意代码提交，我们都可以称之为注入攻击。

接着我为大家介绍两款强大的SQL注入攻击，并对他们进行比较分析，简述他们的使用方法。Domain和啊D SQL注入，前者具有简单方便的旁注功能，而后者是由知名黑客软件开发人啊D开发，SQL攻击十分方便。

啊D注入工具

明小子

与明小子相比，啊D的扫描注入点功能支持在线浏览扫描，可以清晰地浏览网页，精确查找具有注入点的网页，当然我们也可以利用明小子的批量扫描注入点功能进行对注入点的查找。上面两幅图都是具有注入点的网页，在啊D中我们需要点击检测注入点是否可用，如果可用我们再分别点击猜解表名和列名功能（检测表段和字段），之后工具就会快速猜解，结果如下。

而他们所对应的数据分别是网站管理员的用户名和密码。在上图中啊D在跑出管理员的密码，但通常来说，我们得到的结果是经过MD5加密后的数据，这时候我们需要记录下加密后的密文，然后跑出对应的明文，这里我推荐大家到www.cmd5.com这个网站进行破解，这个网站是免费的。之后得到管理员账号的我们可以通过后台登录即可，然后上传我们的webshell等等，这一部分暂时就到这里了。

  结束了？没错，这一部分就到这里，或许你没有看到任何基于数据库的东西，事实上我们执行的每一步都是针对数据库的恶意欺骗。同样的，这也是SQL注入攻击的冰山一角。因为，我们所使用的工具，在我们执行点击的时候，已经完成了恶意代码的提交和构筑（我们只需要傻瓜化的点功能键），所以对于不会SQL的我们来说这是幸运的。这也是为什么我选择写解密黑客攻击的文章，或许，黑客技术没那么难？是也不是，对于不会SQL的我们（甚至不怎么会计算机应用的人们），这种程度的SQL攻击应用，其实算不上什么，而且其实非常危险。所以我会继续为大家解密SQL注入攻击，敬请期待下篇。

  再次声明，文中所提到的工具和入侵方法仅供交流讨论，所造成的对他人的破坏，笔者不承担任何法律责任！

  谢谢您的支持和订阅，每周更新。