试题出自试卷《2023年下半年网络工程师考试上午真题（专业解析+参考答案）》

问题1选项
A.对数据库进行加密
B.定期备份数据库
C.启用WAF（Web应用程序防火墙）
D.将数据库和Web服务器分离部署

C

SQL注入可能会导致数据库数据被修改、删除，所以加密和定期备份无法减少攻击，只能降低损失。主要措施包括：

第一，使用参数化的过滤性语句。要防御SQL注入，用户的输入就绝对不能直接被嵌入到SQL语句中。恰恰相反，用户的输入必须进行过滤，或者使用参数化的语句。参数化的语句使用参数而不是将用户输入嵌入到语句中。在多数情况中，SQL语句就得以修正。　　
第二，还要避免使用解释程序，因为这正是黑客们借以执行非法命令的手段。
第三，防范SQL注入，还要避免出现一些详细的错误消息，因为黑客们可以利用这些消息。要使用一种标准的输入确认机制来验证所有的输入数据的长度、类型、语句、企业规则等。
第四，使用专业的漏洞扫描工具。但防御SQL注入攻击也是不够的。攻击者们目前正在自动搜索攻击目标并实施攻击。其技术甚至可以轻易地被应用于其他的Web架构中的漏洞。企业应当投资于一些专业的漏洞扫描工具。一个完善的漏洞扫描程序不同于网络扫描程序，它专门查找网站上的SQL注入式漏洞。最新的漏洞扫描程序可以查找最新发现的漏洞。
第五，使用IPS等设备。
第六，使用WAF等设备。