主頁 > 知識庫 > 防御SQL注入的方法總結(jié)

防御SQL注入的方法總結(jié)

熱門標(biāo)簽:如何在地圖標(biāo)注自己店鋪 真人語音電銷機(jī)器人 寧波人工外呼系統(tǒng)有效果嗎 地圖標(biāo)注一個圓圈怎么用 怎樣把地圖標(biāo)注導(dǎo)入公司地址 400外呼系統(tǒng)合法 洛陽外呼系統(tǒng)平臺 廣州人工電銷機(jī)器人費(fèi)用 電銷機(jī)器人被曝光

SQL 注入是一類危害極大的攻擊形式。雖然危害很大,但是防御卻遠(yuǎn)遠(yuǎn)沒有XSS那么困難。

SQL 注入可以參見:https://en.wikipedia.org/wiki/SQL_injection

SQL 注入漏洞存在的原因,就是拼接 SQL 參數(shù)。也就是將用于輸入的查詢參數(shù),直接拼接在 SQL 語句中,導(dǎo)致了SQL 注入漏洞。

1. 演示下經(jīng)典的SQL注入

我們看到:select id,no from user where id=2;

如果該語句是通過sql字符串拼接得到的,比如: String sql = "select id,no from user where id=" + id;

其中的 id 是一個用戶輸入的參數(shù),那么,如果用戶輸入的是 2, 那么上面看到查到了一條數(shù)據(jù),如果用戶輸入的是 2 or 1=1 進(jìn)行sql注入攻擊,

那么看到,上面的語句(select id,no from user where id=2 or 1=1;)將user表中的所有記錄都查出來了。

這就是典型的sql注入。

再看一列:

我們看到通過 sql 注入能夠直接將表 sqlinject 刪除掉!可見其危害!

2. sql 注入的原因

sql注入的原因,表面上說是因?yàn)?拼接字符串,構(gòu)成sql語句,沒有使用 sql語句預(yù)編譯,綁定變量。

但是更深層次的原因是,將用戶輸入的字符串,當(dāng)成了 “sql語句” 來執(zhí)行。

比如上面的 String sql = "select id,no from user where id=" + id;

我們希望用戶輸入的 id 的值,僅僅作為一個字符串字面值,傳入數(shù)據(jù)庫執(zhí)行,但是當(dāng)輸入了: 2 or 1=1 時,其中的 or 1=1 并沒有作為 where id= 的字面值,而是作為了 sql語句 來執(zhí)行的。所以其本質(zhì)是將用戶的輸入的數(shù)據(jù),作為了命令來執(zhí)行。

3. sql注入的防御

1> 基本上大家都知道 采用sql語句預(yù)編譯和綁定變量,是防御sql注入的最佳方法。但是其中的深層次原因就不見得都理解了。

 String sql = "select id, no from user where id=?";
    PreparedStatement ps = conn.prepareStatement(sql);
    ps.setInt(1, id);
    ps.executeQuery();

如上所示,就是典型的采用 sql語句預(yù)編譯和綁定變量 。為什么這樣就可以防止sql 注入呢?

其原因就是:采用了PreparedStatement,就會將sql語句:"select id, no from user where id=?" 預(yù)先編譯好,也就是SQL引擎會預(yù)先進(jìn)行語法分析,產(chǎn)生語法樹,生成執(zhí)行計(jì)劃,也就是說,后面你輸入的參數(shù),無論你輸入的是什么,都不會影響該sql語句的語法結(jié)構(gòu)了,因?yàn)檎Z法分析已經(jīng)完成了,而語法分析主要是分析sql命令,比如 select ,from ,where ,and, or ,order by 等等。所以即使你后面輸入了這些sql命令,也不會被當(dāng)成sql命令來執(zhí)行了,因?yàn)檫@些sql命令的執(zhí)行, 必須先的通過語法分析,生成執(zhí)行計(jì)劃,既然語法分析已經(jīng)完成,已經(jīng)預(yù)編譯過了,那么后面輸入的參數(shù),是絕對不可能作為sql命令來執(zhí)行的,只會被當(dāng)做字符串字面值參數(shù)。所以sql語句預(yù)編譯可以防御sql注入。

2> 但是不是所有場景都能夠采用 sql語句預(yù)編譯,有一些場景必須的采用 字符串拼接的方式,此時,我們嚴(yán)格檢查參數(shù)的數(shù)據(jù)類型,還有可以使用一些安全函數(shù),來方式sql注入。

比如 String sql = "select id,no from user where id=" + id;

在接收到用戶輸入的參數(shù)時,我們就嚴(yán)格檢查 id,只能是int型。復(fù)雜情況可以使用正則表達(dá)式來判斷。這樣也是可以防止sql注入的。

安全函數(shù)的使用,比如:  

 MySQLCodec codec = new MySQLCodec(Mode.STANDARD);
    name = ESAPI.encoder().encodeForSQL(codec, name);
    String sql = "select id,no from user where name=" + name;

ESAPI.encoder().encodeForSQL(codec, name)
該函數(shù)會將 name 中包含的一些特殊字符進(jìn)行編碼,這樣 sql 引擎就不會將name中的字符串當(dāng)成sql命令來進(jìn)行語法分析了。

注:

實(shí)際項(xiàng)目中,一般我們都是采用各種的框架,比如ibatis, hibernate,mybatis等等。他們一般也默認(rèn)就是sql預(yù)編譯的。對于ibatis/mybatis,如果使用的是 #{name}形式的,那么就是sql預(yù)編譯,使用 ${name} 就不是sql預(yù)編譯的。

以上就是SQL注入防御方法總結(jié),希望對大家之后的學(xué)習(xí)有所幫助。

您可能感興趣的文章:
  • 利用SQL注入漏洞登錄后臺的實(shí)現(xiàn)方法
  • 有效防止SQL注入的5種方法總結(jié)
  • 利用SQL注入漏洞拖庫的方法
  • SQL注入中繞過 單引號 限制繼續(xù)注入
  • sql注入之手工注入示例詳解
  • MySQL 及 SQL 注入與防范方法
  • SQL數(shù)據(jù)庫的高級sql注入的一些知識
  • SQL 注入式攻擊的終極防范
  • 關(guān)于SQL注入中文件讀寫的方法總結(jié)
  • sql注入教程之類型以及提交注入

標(biāo)簽:煙臺 咸寧 南昌 北海 石家莊 晉中 東營 珠海

巨人網(wǎng)絡(luò)通訊聲明:本文標(biāo)題《防御SQL注入的方法總結(jié)》,本文關(guān)鍵詞  防御,SQL,注入,的,方法,總結(jié),;如發(fā)現(xiàn)本文內(nèi)容存在版權(quán)問題,煩請?zhí)峁┫嚓P(guān)信息告之我們,我們將及時溝通與處理。本站內(nèi)容系統(tǒng)采集于網(wǎng)絡(luò),涉及言論、版權(quán)與本站無關(guān)。
  • 相關(guān)文章
  • 下面列出與本文章《防御SQL注入的方法總結(jié)》相關(guān)的同類信息!
  • 本頁收集關(guān)于防御SQL注入的方法總結(jié)的相關(guān)信息資訊供網(wǎng)民參考!
  • 推薦文章