Android平台防止SQL注入

最新推荐文章于 2024-03-25 09:00:21 发布

Tobi1025

最新推荐文章于 2024-03-25 09:00:21 发布

阅读量6.7k

点赞数 1

分类专栏： APP安全文章标签： android 数据库 sql注入

本文链接：https://blog.csdn.net/Tobi2015/article/details/52404036

版权

APP安全专栏收录该内容

1 篇文章 0 订阅

订阅专栏

sql注入其实就是在某些不安全控件内输入sql或其他数据库的一些语句，从而达到欺骗服务器执行恶意代码影响到数据库的数据。防止sql注入，可以在接受不安全空间的内容时过滤掉接受字符串内的特殊字符，那么他不再是一条sql语句，而是一个类似sql语句的字符串，执行后也不会对数据库有破坏。如：—–

username = request("username") //获取用户名这里是通过URL传值获取的

password = request("password") //获取密码也是通过URL传值获取的

此时sql="select * from user where username = '" & username & "' and password = '" & password & "'"

如果某个人知道某个用户名是admin,常常有人网站的管理员用户名就是admin,这是密码可以选用’or 1 or ‘,

那么sql="select * from userlist where username = 'admin' and password = '' or 1 or ''"，

显然1是恒真的，那么验证密码就通过了。成功登陆后台管理后，接下来就可以任意进行破坏行为，如篡改网页、上传木马、修改、泄漏用户信息等，并进一步入侵数据库服务器，后果是十分严重的。

那么怎么防止SQL注入呢？

所有的SQL注入都是从用户的输入开始的。如果你对所有用户输入进行了判定和过滤，就可以防止SQL注入了。防止的方式比较多，比如可以限制username,password中出现”’”等特殊字符，一般网站都是只允许数字，字符，下划线的组合，这可以通过javascript验证。也可以采取用存储过程代替sql拼接等等。

那么如何使APP的数据库使用更安全？

不直接使用原始SQL语句，而是使用具备预编译参数能力的SQL API；
如果一定要使用原始SQL语句，语句中不应有进行任何字符串拼接的操作；
如非必要，记得主动调用SQL API关闭动态加载扩展的能力；
使用数据加密（如SqlCipher）扩展SQLite数据存储的安全性，之前博客有专门介绍SqlCipher的使用的。详见：http://blog.csdn.net/tobi2015/article/details/51077314