浅谈Web安全

最新推荐文章于 2024-11-04 18:40:14 发布

G19931112

最新推荐文章于 2024-11-04 18:40:14 发布

阅读量111

点赞数

文章标签： web安全 java php

原文链接：http://www.cnblogs.com/umgsai/p/6696552.html

版权

SQL注入

如果数据库用的是MyISAM引擎，且注入点是某个会锁表的语句（insert,replace,update,delete），那么整个数据表的访问都会被阻塞。禁用mysql的sleep函数,或者修改sleep上限，拒绝不合理的超长sleep。现实中很少用到这个sleep功能，就算遇到需要sleep的场景，也可以通过外部应用来实现sleep。

防止SQL注入

1.严格的数据类型
http://localhost/view.php?id=112

select * from test where id = $id;

http://localhost/view.php?id=112 or 1=1

select * from test where id = 112 or 1=1;

2.特殊字符转义

username=admin&password=' or sleep(5)-- ddd
select * from TSUser where username = 'admin' and password = '' or sleep(5)-- ddd’
username=admin&password=\' or sleep(5)-- ddd
select * from TSUser where username = 'admin' and password = '\' or sleep(5)-- ddd'

3.使用预编译语句
在Java中使用PreparedStatement预编译语句可以在创建的时候将指定的SQL语句发送给DBMS完成解析、检查、编译等工作，能有效地防御SQL注入。

**注意：如果使用动态拼接的SQL语句，仍然是不安全的。如下例：

String sql = "select * from TSUser where username = ‘"+ username +"' and password = '"+ password +"'";
PreparedStatement ps = connection.prepareStatement(sql);
ResultSet resultSet = ps.executeQuery();

要想使PreparedStatement防御SQL注入，必须使用它的setter方法（setString、setInt等）

4.框架技术—MyBatis

<select id="getBlogById" resultType="Blog" parameterType="int”>  
        select id,title,author,content  
        from blog where id=#{id}  
</select>

select id,title,author,content from blog where id = ?     —>执行了预编译

<select id="orderBlog" resultType="Blog" parameterType="map">  
        select id,title,author,content  
        from blog order by ${orderParam}  
</select>

select id,title,author,content from blog order by id     —>直接替换参数，没有执行预编译

在mybatis中，”${xxx}”这样格式不能避免注入攻击。但涉及到动态表名和列名时，只能使用“${xxx}”这样的参数格式，所以，这样的参数需要我们在代码中手工进行处理来防止注入。在编写mybatis的映射语句时，尽量采用“#{xxx}”这样的格式。若不得不使用“${xxx}”这样的参数，要手工地做好过滤工作，来防止sql注入攻击。