將Web服務URL中的SQL注入作爲參數值

Question

顯然，通過消息的有效內容進行SQL注入是一種非常普遍的做法，因此它始終是覆蓋此內容的關鍵（我已經在我的代碼中）。不過，我只是想知道通過URL進行SQL注入的可能性，以及這是否可以作爲SQL注入的實際方法。

我會給一個示例URL來更好地詳細說明我的問題。如果我有一個網址，如這與SQL語句將被用於包括一個參數作爲它的值內注射（請注意，「選擇」可以是任何SQL查詢）：

https://testurl.com:1234/webservicename?parameter=SELECT

我會想知道這是否是有效的方法，並且這對於黑客試圖注入所需Web服務的後端是否真的有效？如果是這樣，那麼最好的方法是什麼？

Answer 1

這和POST數據一樣。如果它在php中，你可以在$ _GET ['parameter']中獲得你的值。之後，您可以在構建SQL請求之前確保該值的安全。通常，您還需要放置引號來結束字符串值並編寫自己的請求。 GET方法不比POST數據更安全，永遠不會信任來自客戶端的數據。這一切都取決於你如何確保數據的安全。如果安全性很好，黑客就不會破壞任何東西（通過這種方式），如果安全性不好或者根本不安全，黑客可以注入他的請求。