SQL 注入攻擊全景解析：七大類型、防禦清單與檢測工具鏈

前言

近年重大資安事件多源於 SQL Injection。本文系統歸納七大注入類型，給出開發/營運兩層面的防禦清單與工具鏈建議。

七大 SQL 注入攻擊類型

新型自動化攻擊：Asprox Trojan

• 僵屍網路發送垃圾郵件植入木馬。
• 木馬下載二進制碼 → 使用搜尋引擎尋找 ASP/ASP.NET 表單站點。
• 批量發動 SQL 注入 → 掛馬/竄改 → 訪客被導向下載惡意 JS → 進一步植入盜號木馬。
• 特徵：全自動化、大規模、多階段載荷。

防禦清單 (開發階段)

1. 參數化查詢 / 預編譯語句：唯一根治方案。
   

   // Java/JDBC 範例
   PreparedStatement ps = conn.prepareStatement("SELECT * FROM users WHERE pwd=?");
   ps.setString(1, pwd);

   參數永遠不會被解析為 SQL 指令。
2. 嚴禁動態 SQL 拼接：若業務極少數需動態，嚴格白名單驗證欄位名/表名/運算子。
3. 輸入驗證白名單：長度、型別、格式、業務規則 (正則)、字元集限制。
4. 統一錯誤處理：生產環境不回傳詳細錯誤堆疊/語法錯誤給前端，統一友善訊息，記錄完整日誌供內部排查。
5. 最小權限原則：應用連線帳號僅擁有必要預存程序 EXEC 權限，無直接表 DML/DDL 權限。

檢測與營運階段工具鏈

安全檢查點 (SDLC 全生命週期)

• 開發前：威脅建模 (STRIDE)、安全需求寫入驗收標準。
• 編碼中：Code Review 強制檢查參數化、輸入驗證。
• 測試前：SAST/DAST 掃描門檻 (零高風險才能進測試環境)。
• 上線前：滲透測試 (內部/外部)、WAF 規則驗證。
• 上線後：持續掃描、日誌審計、異常告警、應急演練。

Web 安全警鐘已響，資安重於泰山。 參數化查詢是銀彈，但需配合分層防禦 (WAF、審計、最小權限、錯誤隱藏) 形成纈深度防護體系。