优选主流主机商
任何主机均需规范使用

如何有效防止SQL注入:5种实用方法全面解析

sql注入入门

sql 注入是一类危害极大的攻击形式。虽然危害很大,但是防御却远远没有xss那么困难。

sql 注入漏洞存在的原因,就是拼接 sql 参数。也就是将用于输入的查询参数,直接拼接在 sql 语句中,导致了sql 注入漏洞。

演示下经典的sql注入

我们看到:select id,no from user where id=2;

如果该语句是通过sql字符串拼接得到的,比如: string sql = "select id,no from user where id=" + id;

其中的 id 是一个用户输入的参数,那么,如果用户输入的是 2, 那么上面看到查到了一条数据,如果用户输入的是 2 or 1=1 进行sql注入攻击, 那么看到,上面的语句(select id,no from user where id=2 or 1=1; )将user表中的所有记录都查出来了。 这就是典型的sql注入。

再看一列:

我们看到通过 sql 注入能够直接将表 sqlinject 删除掉!可见其危害!

sql注入攻击的总体思路

1、寻找到sql注入的位置

2、判断服务器类型和后台数据库类型

3、针对不通的服务器和数据库特点进行sql注入攻击

sql注入攻击实例

比如在一个登录界面,要求输入用户名和密码:

可以这样输入实现免帐号登录:

用户名: ‘or 1 = 1 –

密 码:点登陆,如若没有做特殊处理,那么这个非法用户就很得意的登陆进去了.(当然现在的有些语言的数据库api已经处理了这些问题)

这是为什么呢? 下面我们分析一下:

从理论上说,后台认证程序中会有如下的sql语句:

1 string sql = "select * from user_table where username=' " +username+ " ' and password=' " + password + " '" ;

当输入了上面的用户名和密码,上面的sql语句变成:

1 select * from user_table where username= '' or 1 = 1 -- and password=''

分析sql语句:

条件后面username=”or 1=1 用户名等于 ” 或1=1 那么这个条件一定会成功;

然后后面加两个-,这意味着注释,它将后面的语句注释,让他们不起作用,这样语句永远都能正确执行,用户轻易骗过系统,获取合法身份。

这还是比较温柔的,如果是执行

1 select * from user_table where username= '' ; drop database (db name ) --' and password=''

….其后果可想而知…

应对方法

下面我针对jsp,说一下应对方法:

1.(简单又有效的方法)preparedstatement

采用预编译语句集,它内置了处理sql注入的能力,只要使用它的setxxx方法传值即可。

使用好处:

(1).代码的可读性和可维护性.

(2).preparedstatement尽最大可能提高性能.

(3).最重要的一点是极大地提高了安全性.

原理:

sql注入只对sql语句的准备(编译)过程有破坏作用

而preparedstatement已经准备好了,执行阶段只是把输入串作为数据处理,

而不再对sql语句进行解析,准备,因此也就避免了sql注入问题.

2.使用正则表达式过滤传入的参数

要引入的包:

1 import java.util.regex.*;

正则表达式:

1 private string checksql = “^(.+)\\sand\\s(.+)|(.+)\\sor(.+)\\s$”;

判断是否匹配:

1 pattern.matches(checksql,targerstr);

下面是具体的正则表达式:

检测sql meta-characters的正则表达式 : /(\%27)|(\')|(\-\-)|(\%23)|(#)/ix

修正检测sql meta-characters的正则表达式 : /((\%3d)|(=))[^\n]*((\%27)|(\')|(\-\-)|(\%3b)|(:))/i

典型的sql 注入攻击的正则表达式 : /\w*((\%27)|(\'))((\%6f)|o|(\%4f))((\%72)|r|(\%52))/ix

检测sql注入,union查询关键字的正则表达式 : /((\%27)|(\'))union/ix(\%27)|(\')

检测ms sql server sql注入攻击的正则表达式: /exec(\s|\+)+(s|x)p\w+/ix

等等…..

3.字符串过滤

比较通用的一个方法:

(||之间的参数可以根据自己程序的需要添加)

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 public static boolean sql_inj(string str){   string inj_str = "'|and|exec|insert|select|delete|update|   count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+|," ;   string inj_stra[] = split(inj_str, "|" );   for ( int i=0 ; i < inj_stra.length ; i++ ){   if (str.indexof(inj_stra[i])>=0){   return true ;   }   }   return false ;   }

4.jsp中调用该函数检查是否包函非法字符

防止sql从url注入:

sql_inj.java代码:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 package sql_inj;   import java.net.*;   import java.io.*;   import java.sql.*;   import java.text.*;   import java.lang.string;   public class sql_inj{   public static boolean sql_inj(string str){   string inj_str = "'|and|exec|insert|select|delete|update|   count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+|," ;   //这里的东西还可以自己添加   string[] inj_stra=inj_str.split( "\\|" );   for ( int i=0 ; i < inj_stra.length ; i++ ){   if (str.indexof(inj_stra[i])>=0){   return true ;   }   }   return false ;   }   }

5.jsp页面判断代码:

使用javascript在客户端进行不安全字符屏蔽

功能介绍:检查是否含有”‘”,”\\”,”/”

参数说明:要检查的字符串

返回值:0:是1:不是

函数名是

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 function check (a){   return 1;   fibdn = new array (”‘” ,”\\”,”/”);   i=fibdn.length;   j=a.length;   for (ii=0; ii<i; ii++)   { for (jj=0; jj<j; jj++)   { temp1=a.charat(jj);   temp2=fibdn[ii];   if (tem'; p1==temp2)   { return 0; }   }   }   return 1;   }

总的说来,防范一般的sql注入只要在代码规范上下点功夫就可以了。

凡涉及到执行的sql中有变量时,用jdbc(或者其他数据持久层)提供的如:preparedstatement就可以 ,切记不要用拼接字符串的方法就可以了。

未经允许不得转载:搬瓦工中文网 » 如何有效防止SQL注入:5种实用方法全面解析