ERP系統數據庫管理安全隱患

SQL注入漏洞的危害 不僅體現在數據庫層面，還有可能危及承載數據庫的操作系統；如果SQL注入被用來掛馬，還可能用來傳播惡意軟件等，這些危害包括但不限于：

? 數據庫信息泄漏：數據庫中存儲的用戶隱私信息泄露。

? 網頁篡改：通過操作數據庫對特定網頁進行篡改。

? 網站被掛馬，傳播惡意軟件：修改數據庫一些字段的值，嵌入網馬鏈接，進行掛馬攻擊。

? 數據庫被惡意操作：數據庫服務器被攻擊，數據庫的系統管理員帳戶被竄改。

? 服務器被遠程控制，被安裝后門：經由數據庫服務器提供的操作系統支持，讓黑客得以修改或控制操作系統。

? 破壞硬盤數據，癱瘓全系統。

SQL注入漏洞解決方案：

1.解決SQL注入漏洞的關鍵是對所有來自用戶輸入的數據進行嚴格檢查、對數據庫配置使用最小權限原則

2.所有的查詢語句都使用數據庫提供的參數化查詢接口，參數化的語句使用參數而不是將用戶輸入變量嵌入到SQL語句中。

3.對進入數據庫的特殊字符（'”\<>&*;等）進行轉義處理，或編碼轉換。

4.確認每種數據的類型，比如數字型的數據就必須是數字，數據庫中的存儲字段必須對應為int型。

5.數據長度應該嚴格規定，能在一定程度上防止比較長的SQL注入語句無法正確執行。

6.網站每個數據層的編碼統一，建議全部使用UTF-8編碼，上下層編碼不一致有可能導致一些過濾模型被繞過。

7.嚴格限制網站用戶的數據庫的操作權限，給此用戶提供僅僅能夠滿足其工作的權限，從而最大限度的減少注入攻擊對數據庫的危害。

8.避免網站顯示SQL錯誤信息，比如類型錯誤、字段不匹配等，防止攻擊者利用這些錯誤信息進行一些判斷。

9.在網站發布之前建議使用一些專業的SQL注入檢測工具進行檢測，及時修補這些SQL注入漏洞。