AQL的定義

SQL是操作數(shù)據(jù)庫數(shù)據(jù)的結(jié)構(gòu)化查詢語言，網(wǎng)頁的應(yīng)用數(shù)據(jù)和后臺(tái)數(shù)據(jù)庫中的數(shù)據(jù)進(jìn)行交互時(shí)會(huì)采用SQL。而SQL注入是將Web頁面的原URL、表單域或數(shù)據(jù)包輸入的參數(shù)，修改拼接成SQL語句，傳遞給Web服務(wù)器，進(jìn)而傳給數(shù)據(jù)庫服務(wù)器以執(zhí)行數(shù)據(jù)庫命令。

如Web應(yīng)用程序的開發(fā)人員對用戶所輸入的數(shù)據(jù)或cookie等內(nèi)容不進(jìn)行過濾或驗(yàn)證（即存在注入點(diǎn)）就直接傳輸給數(shù)據(jù)庫，就可能導(dǎo)致拼接的SQL被執(zhí)行，獲取對數(shù)據(jù)庫的信息以及提權(quán)，發(fā)生SQL注入攻擊。

SQL的特點(diǎn)：廣泛性、隱蔽性、危害性、操作方便。

SQL注入攻擊又是什么？

SQL注入攻擊通過構(gòu)建特殊的輸入作為參數(shù)傳入Web應(yīng)用程序，而這些輸入大都是SQL語法里的一些組合，通過執(zhí)行SQL語句進(jìn)而執(zhí)行攻擊者所要的操作，它目前是黑客對數(shù)據(jù)庫進(jìn)行攻擊的最常用手段之一。

SQL 注入帶來的威脅主要有如下幾點(diǎn)

猜解后臺(tái)數(shù)據(jù)庫，這是利用最多的方式，盜取網(wǎng)站的敏感信息。

繞過認(rèn)證，列如繞過驗(yàn)證登錄網(wǎng)站后臺(tái)。

注入可以借助數(shù)據(jù)庫的存儲(chǔ)過程進(jìn)行提權(quán)等操作

整合自：CSDN猿小雪、百度百科

編輯：jq