SQL注入攻击原理与防御措施

原理：

所谓SQL注入，就是通过把SQL命令伪装成正常的HTTP请求参数传递到服务端，款骗服务器最终执行恶意的SQL命令，达到入侵目的。攻击者可以利用SQL注入漏洞，查询非授权信息，修改数据库服务器的数据，改变表结构，甚至是获取服务器root权限。总而言之，SQL注入漏洞的危害极大，攻击者采用的SQL指令决定了攻击的威力。目前涉及的大批量数据泄露的攻击事件，大部分都是通过SQL注入来实施的。

示例：

假设某个存在漏洞的网站登录页需要输入用户名和密码，后台接收到参数后是直接拼接SQL查数据库，如：

String sql = “select * from t_user where username = ‘” + name + ”’ and password = ‘” + pwd + ”’”;

正常情况下，如果密码不正确是查询不到数据的，现在某恶意用户输入的密码为：’ or ‘1’ = ’1

此时拼接的语句就成了：

String sql = “select * from t_user where username = ‘test’ and password = ‘’ or ‘1’ = ‘1’ ”;

显然此时可以查到数据，因为直接可以无需密码这个条件。

这只是最简单的示例，真实情况中黑客会想尽一切办法钻SQL的漏洞。一旦被攻击者找到漏洞，轻则盗取数据、欺骗网站进行登录，重则直接加入drop/delete等语句删库跑。

防御措施：

1. 使用预编译语句或ORM框架：

感谢现在很多实用的持久层框架，不仅提高编码效率，而且很多问题在框架层面解决了。比如框架一般会使用占位符/变量的方式代替拼接SQL，这样的话引号这种敏感字符会被转义，不会当成SQL来执行。在开发过程中尽量不要随意拼接原生SQL语句。

2. 避免密码明文存放：

对存储的密码进行单向Hash，如使用MD5对密码进行摘要。不过近年来MD5也可能被彩虹表法进行破解，因此安全起见还可以使用哈希加盐法（Hash + Salt）,即给密码末尾加点料（一串私有key）然后再进行Hash，这样就很难破解了。

3. 处理好异常：
许多老旧网站，一遇到500异常就直接把错误信息、数据库字段、甚至代码堆栈信息都打印在页面上了，这是非常危险的，一眼就能看出后台使用什么语言、技术、数据库等，所以我们一定要在代码中定义好全局性异常捕捉，不要把服务端信息暴露到前端页面。

参考书籍：

《大型分布式网站架构设计与实践》陈康贤著