javaee sql注入问题

最新推荐文章于 2024-05-08 12:34:04 发布
最新推荐文章于 2024-05-08 12:34:04 发布
阅读量146 收藏
点赞数
分类专栏： Mac开发 文章标签： java-ee sql servlet
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Rockandrollman/article/details/131338950
版权

jsp页面

<%@ page language="java" contentType="text/html; charset=utf-8"
    pageEncoding="utf-8"%>
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<title>Insert title here</title>
</head>
<body>
<form action="TestLoginServlet" method="post">
	<pre>
		账号：<input type="text" name="uname">
		密码：<input type="password" name="pwd">
		<input type="submit" name="sub" value="登录">
	</pre>
</form>

</body>
</html>

存在SQL注入问题的代码

package com.yyy.servlet;

import java.io.IOException;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;


/**
 * author：呆萌老师
 *  qq: 2398779723
 *  weixin: it_daimeng
 */
@WebServlet("/TestLoginServlet")
public class LoginServlet extends HttpServlet {
	private static final long serialVersionUID = 1L;
       
    /**
     * @see HttpServlet#HttpServlet()
     */
    public LoginServlet() {
        super();
        // TODO Auto-generated constructor stub
    }

	/**
	 * @see HttpServlet#doGet(HttpServletRequest request, HttpServletResponse response)
	 */
	protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
		// TODO Auto-generated method stub
		//response.getWriter().append("Served at: ").append(request.getContextPath());
	
		request.setCharacterEncoding("utf-8");
		response.setContentType("text/html;charset=utf-8");
		
		//1.获得用户的输入
		String uname=request.getParameter("uname");
		String pwd=request.getParameter("pwd");
		//2.连接数据库查询
		try {
			Class.forName("com.mysql.jdbc.Driver");
			
			Connection connection=  DriverManager.getConnection("jdbc:mysql://localhost:3306/itstar?characterEncoding=utf-8","itstar","yyy123456");
			
			// uname=zhangsan' or '1'='1  // sql注入
			
		    //防止sql注入
			//String sql="select * from user where uname=? and upwd=?";			
			
			//预定义语句命令对象
//			PreparedStatement pstatement= connection.prepareStatement(sql);			
//		
//			pstatement.setString(1, uname);
//			
//			pstatement.setString(2, pwd);		
//			
//			ResultSet rSet= pstatement.executeQuery();
			
			Statement statement = connection.createStatement();
			String sql = "select * from user where uname = '"+uname+"' and upwd = '"+pwd+"'";
			//"select * from user where uname = 'zhangsan' or '1'='1' and pwd = '"+pwd+"'"
			ResultSet rSet = statement.executeQuery(sql);
			
			if(rSet.next())
				response.getWriter().println("<script>alert('登录成功')</script>");
			else
				response.getWriter().println("用户名或密码出错");
			
			rSet.close();
			
			connection.close();
			
		} catch (ClassNotFoundException e) {
			// TODO Auto-generated catch block
			e.printStackTrace();
		} catch (SQLException e) {
			// TODO Auto-generated catch block
			e.printStackTrace();
		}
		
		//3.处理结果
		
	
	}

	/**
	 * @see HttpServlet#doPost(HttpServletRequest request, HttpServletResponse response)
	 */
	protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
		// TODO Auto-generated method stub
		doGet(request, response);
	}

}

在这里插入图片描述
当输入的用户名为y1’ or ‘1’ = ‘1时，SQL语句会拼接为
“select * from user where uname = ‘y1’ or ‘1’=‘1’ and pwd = '”+pwd+"’"
因为or ‘1’='1’的存在，此时不管输入的密码是什么，都会登录成功。

避免sql注入的代码

package com.yyy.servlet;

import java.io.IOException;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;


/**
 * author：呆萌老师
 *  qq: 2398779723
 *  weixin: it_daimeng
 */
@WebServlet("/TestLoginServlet")
public class LoginServlet extends HttpServlet {
	private static final long serialVersionUID = 1L;
       
    /**
     * @see HttpServlet#HttpServlet()
     */
    public LoginServlet() {
        super();
        // TODO Auto-generated constructor stub
    }

	/**
	 * @see HttpServlet#doGet(HttpServletRequest request, HttpServletResponse response)
	 */
	protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
		// TODO Auto-generated method stub
		//response.getWriter().append("Served at: ").append(request.getContextPath());
	
		request.setCharacterEncoding("utf-8");
		response.setContentType("text/html;charset=utf-8");
		
		//1.获得用户的输入
		String uname=request.getParameter("uname");
		String pwd=request.getParameter("pwd");
		//2.连接数据库查询
		try {
			Class.forName("com.mysql.jdbc.Driver");
			
			Connection connection=  DriverManager.getConnection("jdbc:mysql://localhost:3306/itstar?characterEncoding=utf-8","itstar","yyy123456");
			
			// uname=zhangsan' or '1'='1  // sql注入
			
		    //防止sql注入
			String sql="select * from user where uname=? and upwd=?";			
			
			//预定义语句命令对象
			PreparedStatement pstatement= connection.prepareStatement(sql);			
		
			pstatement.setString(1, uname);
			
			pstatement.setString(2, pwd);		
			
			ResultSet rSet= pstatement.executeQuery();
			
//			Statement statement = connection.createStatement();
//			String sql = "select * from user where uname = '"+uname+"' and upwd = '"+pwd+"'";
//			//"select * from user where uname = 'zhangsan' or '1'='1' and pwd = '"+pwd+"'"
//			ResultSet rSet = statement.executeQuery(sql);
			
			if(rSet.next())
				response.getWriter().println("<script>alert('登录成功')</script>");
			else
				response.getWriter().println("用户名或密码出错");
			
			rSet.close();
			
			connection.close();
			
		} catch (ClassNotFoundException e) {
			// TODO Auto-generated catch block
			e.printStackTrace();
		} catch (SQLException e) {
			// TODO Auto-generated catch block
			e.printStackTrace();
		}
		
		//3.处理结果
		
	
	}

	/**
	 * @see HttpServlet#doPost(HttpServletRequest request, HttpServletResponse response)
	 */
	protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
		// TODO Auto-generated method stub
		doGet(request, response);
	}

}

在这里插入图片描述
使用预定义sql语句，此时不管页面输入的参数是什么，都会被加上引号放到sql中作为参数值。这样就可以避免sql注入的bug了。

在下，杨江河
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
JavaEE中遗漏的10个最重要的安全控制
02-01
很多常见攻击，例如跨站点脚本攻击（XSS）、SQL注入、 跨站点伪造请求（CSRF），以及XML外部实体（XXE）丝毫没有涵盖。你可以阻止web应用程序和web服务暴露于这些攻击，但这需要一定量的工作和 测试。幸运的是，...
javaEE：测试连接sql server数据库
weixin_43976226的博客
05-02 924
提示：文章写完后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录前言二、配置参数二、整个test.java文件总结 前言 提示：快速配置连接sql server数据库 提示：以下是相关代码 二、配置参数 示例：如下 Class.forName("com.microsoft.sqlserver.jdbc.SQLServerDriver"); String URL = "jdbc:sqlserver://localhost:1433;DatabaseName=OA"; String userna
SQL报错：java.sql.SQLException: sql injection violation, dbType mysql
SSHLY3的博客
11-16 4万+
1. 报错信息 提示如下： Caused by: java.sql.SQLException: sql injection violation, syntax error: error pos 18, line 1, column 12, token EXCEPT : insert into 1 2. 问题分析 之前遇到过类似的错误，提示也是sql injection violation，字面理解就是sql注入错误，也就是说sql不对。 经常性是因为一些列名被怀疑是sql注入被拒绝，但是此次搞了...
浅谈Java下SQL注入问题
weixin_42603304的博客
03-07 2355
SQL注入什么是SQL注入Mybatis下SQL注入如何解决SQL注入 什么是SQL注入 所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。 Mybatis下SQL注入 Mybatis的SQL语句可以基于注解的方式写在类方法上面，更多的是以xml的方式写到xml文件。Mybatis中SQL语句需要我们自己手动编写或者用generator自动生成。 编写xml文件时，Mybatis支持两种参数符号，一种是#，另一种是$。 Java
NetBeans/Eclipse连接SQLServer数据库
P_c
06-17 1826
1、官网下载JDBC驱动 sqljdbc_6.0 运行sqljdbc_6.0.8112.200_chs.exe程序，解压即可 然后进入Microsoft JDBC Driver 6.0 for SQL Server/sqljdbc_6.0/chs目录下 选择对应的jre7与jre8： 如果安装的是jkd7就选择jre7 如果安装的是jkd8就选择jre8 查看jdk版本信息：在命名窗口输入ja...
JavaEE简易购物车（NetBeans：jsp+sqlserver+jdbc+javabean）
P_c
01-16 5809
JavaEE简易购物车项目源文件 文章目录一、题目二、实现1、流程图2、具体页面1. 登录界面（Login.jsp）1.1 获取用户名和密码1.2 用户输入用户名和密码1.3 判断用户名密码是否为空2. 登录检查页面（LoginCheck.jsp）3. 注册界面（Register.jsp）3.1 用户输入用户名和密码3.2 判断用户名密码是否为空且密码是否对应3. 注册检查页面（RegisterC...
SQL注入式攻击
early_day的博客
05-20 6650
一、SQL注入式攻击 1.所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。 2.在某些表单中，用户输入的内容直接用来构造（或者影响）动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。 常见的SQL注入式攻击过程例如： （1）某个ASP.NET Web应用有一个登录页面，这个登录页面控制着用户是否有权访问应用，它要求用户输入一个名称和密码。 （2）登录页面中输入的内容将直接用来构造动态的SQL命
jOOQ-javaee-example:示例如何在 JavaEE 项目中使用 jOOQ
06-30
生成的 bean 可以像任何其他 CDI bean 一样在应用程序中注入（自 CDI 1.0 起） @Inject private DSLContext ctx; 交易处理 虽然 jOOQ 不提供用于事务处理的 API，但它接受任何数据源（无论如何生成）。 因此，...
Java学习日志(三十三): JDBC预处理对象，连接池C3P0
12-14
JavaEE学习日志持续更新—-> 必看！JavaEE学习路线（文章总汇） Java学习日志（三十三）JDBC预处理对象登陆注册案例模拟：用户注入攻击数据库解决用户注入式攻击PreparedStatement对象对数据库表进行增删改查连接池...
vaadin-on-kotlin：最简单地在JVM上编写全栈静态类型的Web应用程序
02-02
Vaadin-on-Kotlin不会强迫您使用 ，依赖注入（DI）或 。 默认情况下，它不使用Spring或JavaEE。 相反，Vaadin-on-Kotlin专注于简单性。 View层利用框架提供的面向组件的编程。 Vaadin提供了基于AJAX构建的强大组件...
migrate-Java-EE-app-to-azure:将现有的 Java EE 工作负载迁移到 Azure
05-31
应用程序的数据到 Azure Database for PostgreSQL、MySQL 和/或 SQL 数据库。 目录 您将迁移到云的内容 您将迁移著名的 Sun 2003 Java EE Blue Print 示例应用程序。 样本的最新版本使用： Java SE 8 Java EE 7 ...
java通过JDBC链接SQLServer2012
热门推荐
cucarcha的专栏
02-20 28万+
下面请一字一句地看，一遍就设置成功，比你设置几十遍失败，费时会少得多。   首先，在连接数据库之前必须保证SQL Server 2012是采用SQL Server身份验证方式而不是windows身份验证方式。如果在安装时选用了后者，则重新设置如下: http://blog.163.com/jackie_howe/blog/static/19949134720122261121214/
Eclipse Java EE IDE for Web Developers 连接Sqlserver2008(采用jdbc4.0)
lzqjfly的专栏
07-11 3808
1.下载jdbc4.0驱动   http://www.microsoft.com/zh-cn/download/details.aspx?id=11774  2.点击下载好的  sqljdbc_4.0.2206.100_chs.exe 进入安装界面                       3.选择Browser选择安装目录（自己选择安装目录，方便查找） 4.在S
【java毕业设计】基于javaEE+SSH+SqlServer的企业车辆管理系统设计与实现（毕业论文+程序源码）——车辆管理系统
m0_66238867的博客
06-24 2969
大家好，今天给大家介绍基于javaEE+SSH+SqlServer的企业车辆管理系统设计与实现，文章末尾附有本毕业设计的论文和源码下载地址哦。文章目录： 企业车辆管理系统运用现代化的计算机管理手段，不但可以对车辆的使用进行合理的管理，而且对车辆的使用情况进行跟踪记录，这对于单位车辆责任到人，费用清晰，避免责任混乱、费用虚假等一系列相应问题的解决。系统的主要功能包括：车辆管理、驾驶员管理及出车信息管理。本系统前台主要使用JSP作为开发语言，后台使用SQServer作为数据库管理系统，开发环境是MyEclips
[Java EE] 多线程(六):线程池与定时器
2301_80050796的博客
05-02 1117
我们前面提到,线程的创建要比进程开销小,但是如果线程的创建/销毁比较频繁,开销也会比较大.所以我们便引入了线程池,线程池的作用就是.线程的创建和销毁,需要通过用户态+内核态来配合完成,但是线程池只需要通过用户态即可完成,不需要内核态的配合.举例说明:渣女小故事有一位小姐姐是个渣女,创建和销毁线程就像一位小姐姐和他的男朋友分手了,再和下一位男朋友一点一点培养感情,而线程池就相当于,小姐姐有一个备胎池,他同时和好几个小哥哥培养感情,如果和其中一个分手了,就可以从备胎池中调用其他小哥哥,无缝衔接.
ssm105基于JAVAEE技术校园车辆管理系统+jsp
hjjshua的博客
05-05 855
现代经济快节奏发展以及不断完善升级的信息化技术，让传统数据信息的管理升级为软件存储，归纳，集中处理数据信息的管理方式。本校园车辆管理系统就是在这样的大环境下诞生，其可以帮助管理者在短时间内处理完毕庞大的数据信息，使用这种软件工具可以帮助管理人员提高事务处理效率，达到事半功倍的效果。此校园车辆管理系统利用当下成熟完善的SSM框架，使用跨平台的可开发大型商业网站的Java语言，以及最受欢迎的RDBMS应用软件之一的Mysql数据库进行程序开发。实现了校园车辆基础数据的管理，停车记录查询,停车为查询。
PostgreSQL自带的命令行工具14- pg_test_timing
最新发布
lee_vincent1的博客
05-08 377
是 PostgresSQL 包含的一个实用工具，它用于测试系统时钟的分辨率和稳定性。这个工具是 PostgreSQL 性能和配置诊断工具集的一部分，特别有助于测试和评估数据库服务器的时钟源质量，这对于数据库操作的时序准确性非常关键。数据库操作，尤其是涉及事务处理时，高精度的时间信息是至关重要的。
MyBatisPlus自定义SQL
m0_74462339的博客
05-04 532
为什么要自定义SQL?直接用MybatisPlus完成全部SQL语句的构造好像也是可以的。这里我将通过两个案例进一步解释数据库中有一张user表，并且已经创建了User实体类。userMapper继承了BaseMapper接口如果我们不使用自定义SQL,完全通过MybatisPlus来构造SQL语句，则如图所示：似乎也能完成需求，但是存在一个问题，当前写的部分是业务逻辑，将来是在service中定义的，这就相当于我们把sql语句的一部分（图中红色方框标记的位置）写在了业务当中。
javaEE框架介绍
04-14
通过JPA，开发人员可以使用面向对象的方式进行数据库操作，而不需要编写SQL语句。 5. JSF（JavaServer Faces）：JSF是一种用于构建用户界面的Java Web框架。它提供了一套组件库和事件模型，使开发人员可以轻松地...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值