SQL注入漏洞攻击

* 登陆判断：select * from T_Users where UserName=... and Password=...,将参数拼到SQL语句中。

*构造恶意的Password: 'or'1'='1

if(reader.Read())

{

    Response.Write("登录成功！");

} 

else

{

  Response.Write("登录失败！");

}

* 防范注入漏洞攻击的方法：不使用SQL语句拼接，通过参数赋值。

*  SQL语句使用@UserName表示“此处用参数代替”，向SqlCommand的Patameters中添加参数

     cmd.CommandText="select * from T_User where UserName=@UserName and Password=@Password";

     cmd.Parameters.Add(new SqlParameters("UserName","bobo"));

     cmd.Parameters.Add(new SqlParameters("Password","123"));

*参数在SQLServer内部不是简单的字符串替换，SQLServer直接用添加的值进行数据比较，因此不会有注入漏洞攻击