SQL注入，外键使用，E-R模型及表间关系，三范式

SQL注入是恶意数据和SQL语句的组合，以修改SQL语句的意图，从而在数据库中检索敏感信息。
当程序处理用户输入时，此攻击会利用漏洞。
防止SQL注入的关键是参数化SQL语句，将数据与SQL命令分开并确保数据安全性。
例如，在Python中，当您执行SQL语句时，您可以保存所需的所有数据参数，并将此列表作为参数传递给SQL执行功能，从而阻止SQL注入。
不安全的SQL声明可能会导致SQL注入攻击。
例如，如果将用户输入的名称与SQL语句结合使用，则构造条件（例如“ name =''or1 = 1 or”）可以更改SQL语句的实际含义，因此可以检索不应检索的数据。
安全的SQL语句应通过参数化列表来防止SQL注入。
外国钥匙可以防止无效的信息插入子位置，从而确保数据一致性和一致性。
在插入和更新新值时，您可以通过检查主表中是否已经存在相应的字段来避免不正确的信息。
创建数据表时，您可以设置一个外键约束，以确保串曲中的字段值具有与主表相对应的记录。
同时，在删除外键约束时要小心，以确保数据相关性和一致性不会损坏。
E-R模型或实体连接图是一种解释现实世界概念模型的工具。
它由实体，连接和属性组成，使您可以清楚地表示实体之间的关系。
在E-R图中，连接分为三种类型：一对一，一对一和多种类型。
E-R模型有助于使用合理的结构设计关系数据库，并提高数据的组织效率。
关系数据库中有六个范例。
这包括一个，两个，三个范式。
由于数据库冗余，这些被归类为高到低。
遵循范式可以降低数据冗余并提高数据一致性。
第一个范式强调了该领域的原子量。
这意味着您无法进一步分开字段。
在第二个范式中，有必要完全取决于主要密钥，而不是部分依赖性。
在第三个范式中，有必要直接依靠主要密钥，并且没有传递依赖性。
通过设计符合范式的表结构，例如主和非主要关键字段之间的场分裂和合理化的依赖性，您可以实现数据库优化，降低冗余并提高数据管理效率。

什么是SQL注入

SQL注入是一种攻击方法，它利用Web应用程序来判断用户条目数据的合法性或将其严格清算，从而允许攻击者在应用程序中预定的查询数据后添加其他SQL数据。
以下是对SQL注入的详细说明：定义：SQL注入是通过引入应用程序的领域中有害SQL图标的输入或“注入”攻击者，从而克服了应用程序安全机制并加热数据库服务器以实现无意外的queies。
攻击原则：当无法完全实现Web应用程序并过滤用户的介绍时，攻击者可以将有害的SQL短语输入输入字段。
这些恶意的SQL短语将分为用于应用程序的预定的SQL查询，从而改变了查询的原始意图。
数据库服务器无意间执行这些瓶装查询，从而导致数据到达或非法。
可能的效果：SQL注入攻击可能导致数据违规，例如可以在数据库中查询敏感信息的攻击者。
攻击者还可以使用SQL注入来修改数据库中的数据，甚至可以破坏数据库安全性。
在极端情况下，SQL注入攻击也可用于执行数据库管理操作，例如添加新用户或删除数据库计划。
预防措施：输入和清算的验证：准确验证并清算用户的输入，以确保输入数据符合协调和预期内容。
使用预处理短语：使用前处理短语可确保SQL代码和数据分开，从而防止SQL注入。
最低许可原则：设置数据库用户减少其对数据库和操作范围的访问所需的最低权限。
定期安全审核：对Web应用程序和数据库的定期安全审核，以立即检测潜在的安全差距。
总而言之，SQL注入代表了严重的安全威胁，需要开发人员和安全专家的有效预防措施。

sql注入常用的命令解释正确的是

1 选择说明：用于查询数据库中的数据。
2 更新指令：用于更新数据库中的数据。
3 ..删除指令：用于删除数据库中的数据。
4 插入说明：用于将新数据插入数据库。
5 删除说明：用于删除数据库中的表或索引。
6 创建指令：用于创建新的数据库，表格或索引。
7 更改指令：用于更改数据库，表或索引的结构。
8 订阅说明：授予用户访问数据库，表或索引的访问权限。
9 撤销指令：用于撤销用户访问数据库，表或索引的访问。
1 0显示说明：用于在数据库中显示信息，例如B.表，列，指数，限制等。

SQL注入——SQL语句

SQL注入是攻击者从数据库中获取敏感信息的常见安全漏洞。
下面，SQL注入实例逐渐分析了SQL注入实例以了解操作过程。
首先，输入ID = 1 以获取ID，名称和性信息。
这表明有一个可以在特定参数位置中使用的射击点。
如果ID ='，则没有错误。
最初确定该注入点对输入长度不敏感。
此外，您不会成功输入1 or1 = 1 并成功传递数据表。
这告诉我们我们可以面对数字注射。
文本注入，输入1 'or'1 '='1 ，然后成功地传递数据库的所有内容，以成功地显示角色注入的力量。
接下来，使用OrderBy [NUM]语句进行测试，输入1 'ororderby1 --（添加空间）以测试查询结果的长度，然后继续输入1 'ororderby2 --------（space）和1 'Rorderby3 ----（space）并确定查询结果是两列。
使用构建的-in函数数据库（），用户（）和版本（）获取数据库帐户名称，数据库名称和版本信息。
1 'AND1 = 2 unionsElect1 ,2 --（空间）可以读取输注，以读取查询结果的第一列和第二列的值。
1 'AND1 = 2 unionsElectUser（）和数据库（）注入的数据库用户已成功获得为root@localhost，并且数据库名称是DVWA。
要获取数据库版本信息和数据库名称，请注入1 'AND1 = 2 UnionSelectVersion（）和数据库（）。
1 'AND1 = 2 UnionsElect1 ，@@ @ @ @ global.version_compile_osfommysql.user获取操作系统信息。
在查询MySQL数据库中的所有数据库和表时，1 'AND1 = 2 UnionSelect1 ，schema_namefrominformation_schema.schemata试图获取信息，但结果返回错误。
DVWA数据库的表名注入1 'ANDEXISTS（选择*Fromuser），以成功地猜测。
猜测字段名称，注入1 'ANDEDISTS（在[表名称]中选择）。
特别是在字段名称中，例如first_name和last_name。
最后，从表中获取字段内容到1 'AND1 = 2 unionsElectFirst_name，last_namefromusers。
在实际的渗透环境中，此阶段对于查找存储管理器帐户信息和密码至关重要。

基于insert into … values … 的SQL注入(非报错方法)

插入...基于价值的SQL注入方法分为两个主要步骤：构建SQL语句和检索数据库信息的蛮力。
第一步是创建一个SQL语句。
您可以使用插入语句特征将SQL代码直接插入输入框。
例如，在第一个编号的输入窗口中，输入'1 '，数据库（），'3 '，'玻璃'。
第二步是蛮力检索数据库信息。
您可以通过创建特定的SQL语句，例如：1 '，（selectGroup_concat（table_name）中的所有表名称中的所有表名称），从inoverle_schema.tableswheretable_schema = database（），'3 '，'glass'）。
You can get the name of the table 1 ', (selectgroup_concat(column_name) fromschinformation_schema.columnswheretable_name =' users1 '),' 3 ','glass') ---',',', by accessing the Users1 table and creating a SQL statement that accesses the next table. After brute force to get the key information, we need to retrieve more data in the table and construct a SQL statement like this: The key point of the whole process is to understand the mechanism of SQL injection and take advantage of the properties of InsertINTO...value... Two main considerations for this method are that the inserted SQL statement can be too long and lead to parsing errors, leading to the processing of comment symbols when writing the SQL statement.您可以将多行插入插入语句中，但是必须谨慎行事以避免由于插入而导致的错误解析。
在编写SQL语句时，合理地使用特殊字符（例如空格）和来自评论符号的正确处理是确保成功注射的关键。
通过练习和调整，SQL注入插入方法……值可以有效地用于检索目标数据库中的重要信息。