我不是某种hax0r左右，但我的老板有一个网站，我告诉他，它很容易受到SQL注入攻击。然后他回答说这不是危险，因为所有信息都是公开的;所以我告诉他，有可能放弃桌子。
通常DROP表命令有效，有人可以告诉我为什么不在这种情况下？ 注意：此数据库仅存储新闻，而不是重要信息！
news.php?id=-99%20union%20all%20select%201,2,3,4,5%20from%20information_schema.columns%20where%20table_schema=0x656e6469616d615--
请不要回复hax0r-hate评论，如果我想知道如何破解我会在irc频道，而不是在这里。
编辑： 如果他对数据库编辑安全，我认为他是对的。 他可以透露sql查询，但这会失去向他展示危险的目的。
答案 0 :(得分：10)
如果能够从SQL注入中检测列名称，则表示它是违规的。
这也意味着您可以轻松地强行攻击网页并检测所有结构，用户，导出数据等...所以是的，网站容易受到攻击，它比“我的数据是公开的，所以我不喜欢“关心”......
黑客可以找到一种方法将数据插入数据库，创建一些网络钓鱼，从他插入数据库的XSS攻击中窃取数据。有很多理由认真对待这个问题。 SQL注入并不意味着黑客只能读取您的数据，它可能导致严重的妥协......
答案 1 :(得分：3)
我认为任何信息披露都是危险的 - 如果现在不能解决这个问题，将来会发生什么情况/如果有更多敏感信息被放到该数据库中？如果以恶意方式修改现有数据会怎样？
SQL注入非常容易防范，如果您知道可能存在的漏洞，则应尽快修复，无论什么是敏感的。只是我的2c。
答案 2 :(得分：0)
如果SQL用户只能访问SELECT权限，则SQL注入不是问题。任何其他权限可能是安全威胁（Particullarly DROP，但也是INSERT或DELETE）。
就个人而言，我只是保护它免受SQL注入，然后对SQL用户施加权限，限制执行攻击的能力，即使我的前线防御被破坏。
即使数据不敏感，SQL注入也可能导致在易受攻击的网站上显示网络钓鱼攻击，诈骗和非法内容。不好。