我正在查看日志并发现了sql注入。看起来它很常用，但我真的不明白它是如何工作的。我试图通过他们提交的表格提交，但没有任何反应。
注射线是：
(select(0)from(select(sleep(0)))v)/*''+(select(0)from(select(sleep(0)))v)+''"+(select(0)from(select(sleep(0)))v)+"*/
无法弄清楚他们是如何注射它的。从我所知道的，没有影响服务器。他们没有得到任何数据。但我仍然想知道它们是如何运作的。
答案 0 :(得分：4)
这是一个漏洞检查。它是确定您的服务器是否容易受到SQL注入攻击的最简单，最安全的方法之一 - 更重要的是，它不需要潜在攻击者的任何关注！您可以使用这样的方法自动测试站点的SQL注入漏洞 - 在这种情况下，这意味着潜在的攻击者可以运行任何类型的查询或命令，您似乎没有任何检查。不用说，这很糟糕。
您应该考虑您的服务器遭到入侵 - 它现在可能在某个人的列表中，有待进一步利用。尽快解决问题，如果真正的修复需要一些时间，理想情况下应立即完全阻止功能。
这背后的想法是，易受攻击的服务器将对具有sleep参数的不同值的查询做出不同的响应 - 这意味着它很容易自动完成所有可能的输入（不要＃＆＃ 39;忘记甚至可以随意更改隐藏字段和下拉菜单等内容，并查明是否有任何易受攻击的内容。当这种方法有效时，您可以直接注入恶意查询/命令，或者继续使用sleep直接找出信息 - 当您无法通过修改容易查询。通过一系列是 - 否问题（基于简单的if(whatever, sleep(5), 0)），您可以确定足以进一步按下您的攻击。</ p>