SQL注入漏洞当用户可控数据以不安全的方式结合到数据库SQL查询中时出现。攻击者可以提供制作的输入以突破其输入出现的数据上下文，并干扰周围查询的结构。
广泛的损坏攻击通常可以通过SQL注入传递，包括读取或修改关键应用数据，干扰应用程序逻辑，升级数据库中的权限并控制数据库服务器。
在此示例中，我们将演示如何使用Burp套件检测SQL注入漏洞。本教程使用“DVWA”，“WebGoat”和“Mutillidae”和“Mutillidae”beplay体育能用吗培训工具中的练习使用，从OWASP的破碎的Web应用程序项目中获取。了解如何下载，安装和使用此项目。
该请求将被捕获代理“拦截”选项卡。
测试SQL注入漏洞的应用程序的一种方法是将请求发送到Burp扫描器。
右键单击请求的任何位置以显示上下文菜单。
单击“执行Active Scan”。
笔记：您还可以通过显示HTTP请求的上下文菜单向扫描仪发送请求，其中HTTP请求，例如站点地图或代理历史记录。
扫描完成后，转到目标“站点映射”选项卡。
在这个例子中扫描器找到了许多SQL注入问题。
单击单个问题以查看“Advisory”选项卡，该选项卡提供有关每个特定漏洞的详细信息。
您还可以根据哪个Burp报告该问题的申请和响应。
访问您正在测试的网页beplay体育能用吗。
您通常可以通过输入应用程序参数中的某些字符来检测SQL注入。
在此示例中，提交“单引用”生成自定义错误消息。
但是，输入''（两个单引号）没有。
这种差异的原因是SQL字符串包含在单引号分隔符范围内。提交一个引用中断字符串的表示，因此是更广泛的SQL语句。两个单引号是代表文字单引用的转义序列。因此，在字符串中提交两个引号只需修改字符串的值，不会打破SQL语句，
现在您已检测到潜在的SQL漏洞，您可以使用Burp进一步调查漏洞。