针对于mysql数据库的sql注入攻击有2种，第一种是普遍大家都知道的字符型sql注入，

另一种攻击是整数型的sql注入，在数据库的渗透测试中，有些网站前端采用了WEB防火墙，

为了提高防火墙的拦截效率，减少误报，大多数都会尽量的缩减发送的请求数。大部分的

sql注入攻击来说，攻击者输入的是数字，也可能是字符串攻击语句，在网站前端没有详细

的安全过滤的时候，输入数字值也可能传到数据库执行了字符串形式的sql注入语句。那么如

何检测mysql数据库的存在sql注入攻击呢？

 

基本上先测试数据库是否报错，and 1=1 1=2等一些常用的sql注入语句。在测试时间的延迟

注入的时候，大部分的数据库sql注入检测里都会有防火墙，并且拦截掉了时间延迟注入。

如果没有延迟注入的情况下，说明要么就不在sql注入的语句，要么说明这个mysql数据库不

存在注入漏洞，那么后续的sql注入检测，就可以依照get post的请求，来判断是否是字符型

以及字符串型的注入。如果您的mysql被攻击，也可以找专业的网站安全公司来处理，国内

SINE安全，启明星辰，绿盟都是比较不错的。对网站进行安全防护，以及mysql安全部署。

 

 

数据库的延迟注入

 

在可以输入值的情况下，进行延迟sql注入检测，尤其针对一些没有明显报错信息的页面里，

首当其冲的选择延迟注入的方式去进行注入检测。延迟注入分benchmark以及sleep语句这两

种注入方式，基本上都会有延迟，但是在注入测试中会有很大的区别。
 

 

sleep语句在执行过程中会返回一个为0的值，在测试中只要有and语句，sleep语句就不会执行，

所以在注入测试中尤其的注意一下。insert注入延迟，是需要sleep延迟语句进行数据库的运算

，才能起到注入效果，利用mysql数据库的类型转换功能，或者使用like等的语句都可以进行

insert延迟注入。如下图所示：