statement := "SELECT * FROM Users WHERE Value= " + a_variable + "
上面這條語句是很普通的壹條SQL語句，他主要實現的功能就是讓用戶輸入壹個員工編號然後查詢處這個員工的信息。但是若這條語句被不法攻擊者改裝過後，就可能成為破壞數據的黑手。如攻擊者在輸入變量的時候，輸入以下內容SA001’;drop table c_order--。那麽以上這條SQL語句在執行的時候就變為了SELECT * FROM Users WHERE Value= ‘SA001’;drop table c_order--。
這條語句是什麽意思呢?‘SA001’後面的分號表示壹個查詢的結束和另壹條語句的開始。c_order後面的雙連字符 指示當前行余下的部分只是壹個註釋，應該忽略。如果修改後的代碼語法正確，則服務器將執行該代碼。系統在處理這條語句時，將首先執行查詢語句，查到用戶編號為SA001 的用戶信息。然後，數據將刪除表C_ORDER(如果沒有其他主鍵等相關約束，則刪除操作就會成功)。只要註入的SQL代碼語法正確，便無法采用編程方式來檢測篡改。因此，必須驗證所有用戶輸入，並仔細檢查在您所用的服務器中執行構造 SQL命令的代碼。
二、 SQL註入攻擊原理。
可見SQL註入攻擊的危害性很大。在講解其防止辦法之前，數據庫管理員有必要先了解壹下其攻擊的原理。這有利於管理員采取有針對性的防治措施。
SQL註入是目前比較常見的針對數據庫的壹種攻擊方式。在這種攻擊方式中，攻擊者會將壹些惡意代碼插入到字符串中。然後會通過各種手段將該字符串傳遞到SQLServer數據庫的實例中進行分析和執行。只要這個惡意代碼符合SQL語句的規則，則在代碼編譯與執行的時候，就不會被系統所發現。
SQL註入式攻擊的主要形式有兩種。壹是直接將代碼插入到與SQL命令串聯在壹起並使得其以執行的用戶輸入變量。上面筆者舉的例子就是采用了這種方法。由於其直接與SQL語句捆綁，故也被稱為直接註入式攻擊法。二是壹種間接的攻擊方法，它將惡意代碼註入要在表中存儲或者作為原書據存儲的字符串。在存儲的字符串中會連接到壹個動態的SQL命令中，以執行壹些惡意的SQL代碼。
註入過程的工作方式是提前終止文本字符串，然後追加壹個新的命令。如以直接註入式攻擊為例。就是在用戶輸入變量的時候，先用壹個分號結束當前的語句。然後再插入壹個惡意SQL語句即可。由於插入的命令可能在執行前追加其他字符串，因此攻擊者常常用註釋標記“—”來終止註入的字符串。執行時，系統會認為此後語句位註釋，故後續的文本將被忽略，不背編譯與執行。
三、 SQL註入式攻擊的防治。
既然SQL註入式攻擊的危害這麽大，那麽該如何來防治呢?下面這些建議或許對數據庫管理員防治SQL註入式攻擊有壹定的幫助。
1、 普通用戶與系統管理員用戶的權限要有嚴格的區分。
如果壹個普通用戶在使用查詢語句中嵌入另壹個Drop Table語句，那麽是否允許執行呢?由於Drop語句關系到數據庫的基本對象，故要操作這個語句用戶必須有相關的權限。在權限設計中，對於終端用戶，即應用軟件的使用者，沒有必要給他們數據庫對象的建立、刪除等權限。那麽即使在他們使用SQL語句中帶有嵌入式的惡意代碼，由於其用戶權限的限制，這些代碼也將無法被執行。故應用程序在設計的時候，最好把系統管理員的用戶與普通用戶區分開來。如此可以最大限度的減少註入式攻擊對數據庫帶來的危害。
2、 強迫使用參數化語句。
如果在編寫SQL語句的時候，用戶輸入的變量不是直接嵌入到SQL語句。而是通過參數來傳遞這個變量的話，那麽就可以有效的防治SQL註入式攻擊。也就是說，用戶的輸入絕對不能夠直接被嵌入到SQL語句中。與此相反，用戶的輸入的內容必須進行過濾，或者使用參數化的語句來傳遞用戶輸入的變量。參數化的語句使用參數而不是將用戶輸入變量嵌入到SQL語句中。采用這種措施，可以杜絕大部分的SQL註入式攻擊。不過可惜的是，現在支持參數化語句的數據庫引擎並不多。不過數據庫工程師在開發產品的時候要盡量采用參數化語句。
3、 加強對用戶輸入的驗證。
總體來說，防治SQL註入式攻擊可以采用兩種方法，壹是加強對用戶輸入內容的檢查與驗證;二是強迫使用參數化語句來傳遞用戶輸入的內容。在SQLServer數據庫中，有比較多的用戶輸入內容驗證工具，可以幫助管理員來對付SQL註入式攻擊。測試字符串變量的內容，只接受所需的值。拒絕包含二進制數據、轉義序列和註釋字符的輸入內容。這有助於防止腳本註入，防止某些緩沖區溢出攻擊。測試用戶輸入內容的大小和數據類型，強制執行適當的限制與轉換。這即有助於防止有意造成的緩沖區溢出，對於防治註入式攻擊有比較明顯的效果。
如可以使用存儲過程來驗證用戶的輸入。利用存儲過程可以實現對用戶輸入變量的過濾，如拒絕壹些特殊的符號。如以上那個惡意代碼中，只要存儲過程把那個分號過濾掉，那麽這個惡意代碼也就沒有用武之地了。在執行SQL語句之前，可以通過數據庫的存儲過程，來拒絕接納壹些特殊的符號。在不影響數據庫應用的前提下，應該讓數據庫拒絕包含以下字符的輸入。如分號分隔符，它是SQL註入式攻擊的主要幫兇。如註釋分隔符。註釋只有在數據設計的時候用的到。壹般用戶的查詢語句中沒有必要註釋的內容，故可以直接把他拒絕掉，通常情況下這麽做不會發生意外損失。把以上這些特殊符號拒絕掉，那麽即使在SQL語句中嵌入了惡意代碼，他們也將毫無作為。
故始終通過測試類型、長度、格式和範圍來驗證用戶輸入，過濾用戶輸入的內容。這是防止SQL註入式攻擊的常見並且行之有效的措施。
4、 多多使用SQL Server數據庫自帶的安全參數。
為了減少註入式攻擊對於SQL Server數據庫的不良影響，在SQLServer數據庫專門設計了相對安全的SQL參數。在數據庫設計過程中，工程師要盡量采用這些參數來杜絕惡意的SQL註入式攻擊。
如在SQL Server數據庫中提供了Parameters集合。這個集合提供了類型檢查和長度驗證的功能。如果管理員采用了Parameters這個集合的話，則用戶輸入的內容將被視為字符值而不是可執行代碼。即使用戶輸入的內容中含有可執行代碼，則數據庫也會過濾掉。因為此時數據庫只把它當作普通的字符來處理。使用Parameters集合的另外壹個優點是可以強制執行類型和長度檢查，範圍以外的值將觸發異常。如果用戶輸入的值不符合指定的類型與長度約束，就會發生異常，並報告給管理員。如上面這個案例中，如果員工編號定義的數據類型為字符串型，長度為10個字符。而用戶輸入的內容雖然也是字符類型的數據，但是其長度達到了20個字符。則此時就會引發異常，因為用戶輸入的內容長度超過了數據庫字段長度的限制。
5、 多層環境如何防治SQL註入式攻擊?
在多層應用環境中，用戶輸入的所有數據都應該在驗證之後才能被允許進入到可信區域。未通過驗證過程的數據應被數據庫拒絕，並向上壹層返回壹個錯誤信息。實現多層驗證。對無目的的惡意用戶采取的預防措施，對堅定的攻擊者可能無效。更好的做法是在用戶界面和所有跨信任邊界的後續點上驗證輸入。如在客戶端應用程序中驗證數據可以防止簡單的腳本註入。但是，如果下壹層認為其輸入已通過驗證，則任何可以繞過客戶端的惡意用戶就可以不受限制地訪問系統。故對於多層應用環境，在防止註入式攻擊的時候，需要各層壹起努力，在客戶端與數據庫端都要采用相應的措施來防治SQL語句的註入式攻擊。
6、 必要的情況下使用專業的漏洞掃描工具來尋找可能被攻擊的點。
使用專業的漏洞掃描工具，可以幫助管理員來尋找可能被SQL註入式攻擊的點。不過漏洞掃描工具只能發現攻擊點，而不能夠主動起到防禦SQL註入攻擊的作用。當然這個工具也經常被攻擊者拿來使用。如攻擊者可以利用這個工具自動搜索攻擊目標並實施攻擊。為此在必要的情況下，企業應當投資於壹些專業的漏洞掃描工具。壹個完善的漏洞掃描程序不同於網絡掃描程序，它專門查找數據庫中的SQL註入式漏洞。最新的漏洞掃描程序可以查找最新發現的漏洞。所以憑借專業的工具，可以幫助管理員發現SQL註入式漏洞，並提醒管理員采取積極的措施來預防SQL註入式攻擊。如果攻擊者能夠發現的SQL註入式漏洞數據庫管理員都發現了並采取了積極的措施堵住漏洞，那麽攻擊者也就無從下手了。