隨著信息技術(shù)的發(fā)展，網(wǎng)站（Web）技術(shù)廣泛應(yīng)用于人們的生活和工作中。無(wú)論是傳統(tǒng)的網(wǎng)站還是手機(jī)App，它們都借助Web技術(shù)從服務(wù)器上讀寫(xiě)數(shù)據(jù)。但Web服務(wù)器往往存在諸多潛在的安全風(fēng)險(xiǎn)和隱患，如SQL注入攻擊、跨站腳本攻擊和命令注入攻擊等。尤其是Web服務(wù)器廣泛使用數(shù)據(jù)庫(kù)技術(shù)，這導(dǎo)致SQL注入攻擊成為常見(jiàn)的攻擊方式。
　　一個(gè)Web服務(wù)器上可能存儲(chǔ)著成百上千個(gè)網(wǎng)頁(yè)，用于接收用戶數(shù)據(jù)，并從數(shù)據(jù)庫(kù)中讀寫(xiě)數(shù)據(jù)，只要其中一個(gè)網(wǎng)頁(yè)對(duì)用戶數(shù)據(jù)過(guò)濾得不嚴(yán)格，就會(huì)形成SQL注入漏洞，加之SQL注入的方式眾多，這些因素都導(dǎo)致手動(dòng)測(cè)試的工作量巨大。
　　sqlmap是一款業(yè)界知名的開(kāi)源自動(dòng)化SQL注入測(cè)試工具，支持當(dāng)下流行的39種數(shù)據(jù)庫(kù)。它不但提供多種目標(biāo)指定方式，而且還支持多目標(biāo)批量測(cè)試。另外，它還能利用6種主流的注入技術(shù)自動(dòng)探測(cè)目標(biāo)存在的SQL注入漏洞，并驗(yàn)證漏洞的危害程度。
　　本書(shū)按照SQL注入的測(cè)試流程，詳細(xì)介紹sqlmap的使用方法。本書(shū)對(duì)sqlmap提交的參數(shù)進(jìn)行詳細(xì)分析，明確SQL注入的防范機(jī)制，另外還重點(diǎn)展現(xiàn)SQL注入帶來(lái)的各種危害，從而幫助安防人員更好地進(jìn)行防范。
本書(shū)特色
　　1．內(nèi)容可操作性強(qiáng)
　　SQL注入是一門(mén)操作性非常強(qiáng)的技術(shù)，為了方便讀者學(xué)習(xí)和理解，本書(shū)遵循SQL注入的流程來(lái)合理安排內(nèi)容。首先介紹各項(xiàng)準(zhǔn)備工作；然后介紹如何指定目標(biāo)，給出設(shè)置連接目標(biāo)的方式并探測(cè)注入點(diǎn)；后介紹如何利用注入漏洞獲取信息，并分析在該過(guò)程中采用的各項(xiàng)技術(shù)。書(shū)中在介紹每個(gè)功能時(shí)都配以實(shí)例，以幫助讀者通過(guò)實(shí)踐的方式進(jìn)行理解和學(xué)習(xí)。
　　2．涵蓋不同類(lèi)型的數(shù)據(jù)庫(kù)信息獲取方法
　　不同類(lèi)型的數(shù)據(jù)庫(kù)獲取信息的方式和側(cè)重點(diǎn)有所不同，本書(shū)詳細(xì)介紹MySQL、MSSQL、Access和Oracle這4種常見(jiàn)的主流數(shù)據(jù)庫(kù)的信息獲取方法，以幫助讀者掌握SQL注入防護(hù)的重點(diǎn)。
　　3．涉及多種SQL攻擊技術(shù)和思路
　　為了幫助讀者了解SQL注入技術(shù)，本書(shū)詳細(xì)介紹sqlmap使用的6種注入技術(shù)，即基于布爾的盲注、基于錯(cuò)誤的注入、基于時(shí)間的盲注、聯(lián)合查詢注入、堆疊注入和DNS注入，另外還會(huì)介紹一種特殊的注入思路——二級(jí)SQL注入。
　　4．提供完善的技術(shù)支持和售后服務(wù)
　　本書(shū)提供QQ交流群（343867787）和論壇（bbs.daxueba.net），供讀者交流和討論學(xué)習(xí)中遇到的各種問(wèn)題。讀者還可以關(guān)注微博賬號(hào)（@大學(xué)霸IT達(dá)人）獲取圖書(shū)內(nèi)容更新信息及相關(guān)技術(shù)文章。另外，本書(shū)還提供售后服務(wù)郵箱hzbook2017@163.com，讀者在閱讀的過(guò)程中若有疑問(wèn)，也可以通過(guò)該郵箱獲得幫助。
本書(shū)內(nèi)容
　　第1篇 測(cè)試準(zhǔn)備
　　本篇涵蓋第1～4章，主要介紹學(xué)習(xí)SQL注入攻擊前的各項(xiàng)準(zhǔn)備工作，如環(huán)境配置、指定目標(biāo)、連接目標(biāo)、探測(cè)注入漏洞及數(shù)據(jù)庫(kù)類(lèi)型等。
　　第2篇 信息獲取
　　本篇涵蓋第5～9章，主要介紹如何獲取MySQL、MSSQL、Access和Oracle這4種常見(jiàn)的數(shù)據(jù)庫(kù)服務(wù)器的重要信息。
　　第3篇 高級(jí)技術(shù)
　　本篇涵蓋第10～14章，主要介紹sqlmap注入攻擊所依賴的技術(shù)，并介紹如何驗(yàn)證漏洞的危害性以及如何提升sqlmap的測(cè)試效率，如優(yōu)化注入、保存數(shù)據(jù)、導(dǎo)出數(shù)據(jù)和規(guī)避防火墻等。
本書(shū)配套資源獲取方式
　　本書(shū)涉及的教學(xué)視頻、思維導(dǎo)圖、工具和軟件需要讀者自行獲取，獲取途徑有以下幾種：
* 根據(jù)書(shū)中對(duì)應(yīng)章節(jié)給出的網(wǎng)址進(jìn)行下載；
* 加入本書(shū)QQ交流群獲取；
* 訪問(wèn)論壇bbs.daxueba.net獲�。�
* 登錄機(jī)械工業(yè)出版社華章分社網(wǎng)站www.hzbook.com，在該網(wǎng)站上搜索到本書(shū)，然后單擊“資料下載”按鈕，即可在本書(shū)頁(yè)面上找到“配書(shū)資源”下載鏈接。
本書(shū)內(nèi)容更新文檔獲取方式
　　為了讓本書(shū)內(nèi)容緊跟技術(shù)發(fā)展和軟件更新的步伐，筆者會(huì)對(duì)書(shū)中的相關(guān)內(nèi)容進(jìn)行不定期更新，并發(fā)布對(duì)應(yīng)的電子文檔。需要的讀者可以加入QQ交流群獲取，也可以通過(guò)機(jī)械工業(yè)出版社華章分社網(wǎng)站上的“本書(shū)配套資源”鏈接進(jìn)行下載。
本書(shū)讀者對(duì)象
* 滲透測(cè)試技術(shù)人員；
* 網(wǎng)絡(luò)安全和維護(hù)人員；
* 信息安全技術(shù)愛(ài)好者；
* 網(wǎng)站開(kāi)發(fā)人員；
* 高校相關(guān)專業(yè)的學(xué)生；
* 專業(yè)培訓(xùn)機(jī)構(gòu)的學(xué)員。
閱讀提示
* sqlmap是一款開(kāi)源工具，會(huì)不定時(shí)進(jìn)行版本更新，學(xué)習(xí)之前建議先按照1.2節(jié)的介紹下載和安裝其版本。如果其功能有較大變化，我們會(huì)發(fā)布增補(bǔ)文檔供讀者下載。
* SQL注入的部分操作會(huì)對(duì)Web服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器的運(yùn)行產(chǎn)生一定的影響，因此應(yīng)該避免在生產(chǎn)環(huán)境中進(jìn)行測(cè)試，而應(yīng)選擇在實(shí)驗(yàn)環(huán)境中進(jìn)行測(cè)試。
* 在測(cè)試之前建議了解相關(guān)法律，避免侵犯他人權(quán)益甚至觸犯法律。
感謝
　　感謝在本書(shū)編寫(xiě)和出版過(guò)程中給予我們大量幫助的各位編輯！限于作者水平，加之寫(xiě)作較為倉(cāng)促，書(shū)中可能存在一些疏漏和不足之處，敬請(qǐng)各位讀者批評(píng)、指正。
　　
　　編著者