SQL注入攻击及其防护措施（含义+防护实例）

檐角小猫

已于 2024-12-23 10:43:44 修改

阅读量704

点赞数 10

文章标签： sql 数据库

于 2024-12-20 13:51:56 首次发布

本文链接：https://blog.csdn.net/m0_65776770/article/details/144609219

版权

SQL注入攻击是一种常见且危险的网络攻击方式，攻击者通过向应用程序的输入字段中插入恶意SQL代码，以操控应用程序背后的数据库。这种攻击经常利用不当的数据验证或不安全的动态查询构建来绕过认证、检索敏感数据、编辑或删除数据库中的数据。那么，我们需要从多个方面了解其原理、防护措施以及具体实现。

SQL注入攻击说明

攻击机制

输入操控：用户输入的数据未经适当校验直接嵌入SQL查询中。
拼接漏洞：使用字符串拼接生成SQL语句，包括直接构造未经过滤的WHERE条件。
典型案例：
- 登录绕过：SELECT * FROM users WHERE username = '' OR '1'='1' AND password = ''; 这里 OR '1'='1' 可以让条件始终为真，从而获取所有用户记录。

攻击类型

基于联合（Union-based）注入：借助 UNION SELECT 合并额外查询结果返回。
基于错误（Error-based）注入：推断错误信息以收集表结构与字段信息。
盲注 (Blind Injection)：
- 基于布尔值：根据页面响应变化推测结果。
- 基于时间（Time-based Blind）：通过延时函数执行确认查询是否成功。

案例背景

假设我们有一个用户登录表单，用户在前端输入用户名和密码后发送到服务器进行验证。传统且不安全的查询代码可能如下：

query = "SELECT * FROM users WHERE username = '" + userInputUsername + "' AND password = '" + userInputPassword + "'";

这个示例易受SQL注入攻击。如果用户输入以下内容：

用户名：' OR '1'='1
密码：--

生成的SQL语句变为：

SELECT * FROM users WHERE username = '' OR '1'='1' -- AND password = '';

结果是无论什么密码都能成功登录，因为 '1'='1' 恒为真。

防护措施详解

1. 参数化查询

使用参数化查询或预处理语句代替动态拼接字符串，是最有效的防御方法之一。

Java JDBC中的实现：

String query = "SELECT * FROM users WHERE username = ? AND password = ?";
PreparedStatement pstmt = connection.prepareStatement(query);
pstmt.setString(1, userInputUsername);
pstmt.setString(2, userInputPassword);
ResultSet rs = pstmt.executeQuery();

这样，用户输入被当做参数而不是直接嵌入到SQL中，无论用户输入什么，都不会改变查询结构。

2. 使用存储过程

将业务逻辑转移到数据库层，使得应用程序只需调用数据库提供的接口，不直接构建SQL语句。

存储过程示例（MySQL）：

CREATE PROCEDURE ValidateUser (IN inputUsername VARCHAR(255), IN inputPassword VARCHAR(255))
BEGIN
    SELECT * FROM users WHERE username=inputUsername AND password=inputPassword;
END;

调用方式（假设使用Java）：

CallableStatement cstmt = connection.prepareCall("{call ValidateUser(?, ?)}");
cstmt.setString(1, userInputUsername);
cstmt.setString(2, userInputPassword);
ResultSet rs = cstmt.executeQuery();

3. 输入验证与清理

实施对所有输入数据的严格验证，确保仅允许合法字符集和格式，通过白名单过滤不希望出现的数据。

示例策略：

去除特殊字符如单引号、双引号。
限制字段长度以减少恶意载体植入机会。

if (!userInputUsername.matches("[a-zA-Z0-9_]+")) {
    throw new IllegalArgumentException("Invalid characters in username.");
}

4. 最小权限原则配置数据库账户

确保应用程序用最少的权限访问数据库，限制实例仅具有业务需要能力。

实现：创建专用用户账户，仅限执行读操作或特定表更新。

GRANT SELECT, INSERT ON mydb.users TO 'appuser'@'localhost';

5. 错误信息控制

避免在客户端暴露过多系统内部信息，应记录详细错误日志于服务器，同时给出通用错误消息提示用户。

示例策略：假设伪代码处理流程如下：

try {
    // ... execute SQL statement ...
} catch (SQLException ex) {
    logger.error("Database access error: ", ex); // 日志内部记下完整异常信息用于分析诊断。
    throw new ApplicationException("An unexpected error occurred. Please try again later."); // 客户显示模糊提示信息。
}