【51CTO.com 綜合報道】據CNNIC中國互聯網絡信息中心2009年7月16日發布的《第24次中國互聯網絡發展狀況調查統計報告》中顯示，我國共有網民數量3.38億人，網站數量306.1萬個，半年內有1.95億網民在上網過程中遇到過病毒和木馬的攻擊，1.1億網民遇到過賬號或密碼被盜的問題。

而據多種調查顯示，目前SQL注入攻擊是造成上述嚴重情況的根本原因之一，也是黑客對數據庫進行攻擊的常用手段之一。隨著B/S模式應用開發的發展，使用這種模式編寫應用程序的程序員也越來越多。但是由于程序員的水平及經驗也參差不齊，相當大一部分程序員在編寫代碼的時候，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患，這也給黑客帶來很多可乘之機。

其實，SQL注入之所以會造成嚴重后果而不被防火墻所發現，是因為這種攻擊方式是從正常的WWW端口訪問，而且表面看起來跟一般的Web頁面訪問沒什么區別，所以目前市面的防火墻都不會對SQL注入發出警報，如果管理員沒查看IIS日志的習慣，可能被入侵很長時間都不會發覺。

而正是因為SQL注入攻擊原理本身非常簡單的原因，才使得相關攻擊工具容易下載，成為近年來攻擊者最有效Web入侵入手段。針對這一攻擊手段，聯想網御的安全專家傾囊傳授廣大51CTO讀者“預防SQL注入攻擊的六脈神劍”：

1、Web應用安全評估：結合應用的開發周期，通過安全掃描、人工檢查、滲透測試、代碼審計、架構分析等方法，全面的發現Web應用本身的脆弱性及系統架構導致的安全問題。應用程序的安全問題可能是軟件生命周期的各個階段產生的，其各個階段可能會影響系統安全的要點主要有：

圖：Web應用常見安全要點及其產生階段

而對應用程序本身在評估過程中可以參考OWASP TOP TEN 2007年最新版本,重點檢查以下內容：

2、Web應用安全加固：對應用代碼及其中間件、數據庫、操作系統進行加固，并改善其應用部署的合理性。從補丁、管理接口、帳號權限、文件權限、通訊加密、日志審核等方面對應用支持環境和應用模塊間部署方式劃分的安全性進行增強。

3、對外部威脅的過濾：通過部署Web防火墻、IPS等設備，監控并過濾惡意的外部訪問，并對惡意訪問進行統計記錄，作為安全工作決策及處置的依據。

圖：威脅過濾及記錄分析

4、Web安全狀態檢測：通過常見掛馬頁面代碼的特征，持續地檢測被保護應用頁面的當前狀態，判斷頁面是否被攻擊者加入惡意代碼。同時通過檢測Web訪問日志及Web程序的存放目錄，檢測是否存在文件篡改及是否被加入Web Shell一類的網頁后門。

5、事件應急響應：提前做好發生幾率較大的安全事件的預案及演練工作，力爭以最高效、最合理的方式申報并處置安全事件，并整理總結。

圖：事件應急響應流程

6、安全知識培訓：讓開發和運維人員了解并掌握相關知識，在系統的建設階段和運維階段同步考慮安全問題，在應用發布前最大程度的減少脆弱點。
在現在和將來，由于受互聯網地下黑色產業鏈中盜取用戶賬號及虛擬財產等行為的利益驅動，攻擊者仍將Web應用作為傳播木馬等惡意程序的主要手段。盡管這會對廣大的運維人員和安全工作者造成很大的工作壓力，但是我們相信通過持續不斷地執行并改進相關安全措施，可以最大限度地保障Web應用的安全，將關鍵系統可能發生的風險控制在可接受的范圍之內。