sql注入

最新推荐文章于 2024-08-01 20:47:16 发布

nsxqf

最新推荐文章于 2024-08-01 20:47:16 发布

阅读量433

点赞数

分类专栏：网络安全

本文链接：https://blog.csdn.net/nsxqf/article/details/82840015

版权

网络安全专栏收录该内容

3 篇文章 0 订阅

订阅专栏

1.定义

所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。

2.举例

常见的SQL 注入可以参见：https://en.wikipedia.org/wiki/SQL_injection

1）我们看到：select id,no from user where id=2;

如果该语句是通过sql字符串拼接得到的，比如： String sql = "select id,no from user where id=" + id;

其中的 id 是一个用户输入的参数，那么，如果用户输入的是 2，那么上面看到查到了一条数据，如果用户输入的是 2 or 1=1 进行sql注入攻击,那么看到，上面的语句(select id,no from user where id=2 or 1=1;)将user表中的所有记录都查出来了。

这就是典型的sql注入。

2）再看一列：

我们看到通过 sql 注入能够直接将表 sqlinject 删除掉！可见其危害！

3.原因

上面的 String sql = "select id,no from user where id=" + id;我们希望用户输入的 id 的值，仅仅作为一个字符串字面值，传入数据库执行，但是当输入了： 2 or 1=1 时，其中的 or 1=1 并没有作为 where id= 的字面值，而是作为了 sql语句来执行的，主要还是因为使用了sql简单拼接，导致将用户的输入的数据，作为了命令来执行。

4.预防

比较常见的2种方法：预编译、字符过滤

1）基本上大家都知道 采用sql语句预编译和绑定变量，是防御sql注入的最佳方法。但是其中的深层次原因就不见得都理解了。

String sql = "select id, no from user where id=?";
        PreparedStatement ps = conn.prepareStatement(sql);
        ps.setInt(1, id);
        ps.executeQuery();

如上所示，就是典型的采用 sql语句预编译和绑定变量。为什么这样就可以防止sql 注入呢？

其原因就是：采用了PreparedStatement，就会将sql语句："select id, no from user where id=?" 预先编译好，也就是SQL引擎会预先进行语法分析，产生语法树，生成执行计划，也就是说，后面你输入的参数，无论你输入的是什么，都不会影响该sql语句的语法结构了，因为语法分析已经完成了，而语法分析主要是分析sql命令，比如 select ,from ,where ,and, or ,order by 等等。所以即使你后面输入了这些sql命令，也不会被当成sql命令来执行了，因为这些sql命令的执行，必须先的通过语法分析，生成执行计划，既然语法分析已经完成，已经预编译过了，那么后面输入的参数，是绝对不可能作为sql命令来执行的，只会被当做字符串字面值参数。所以sql语句预编译可以防御sql注入。

2）

但是不是所有场景都能够采用 sql语句预编译，有一些场景必须的采用字符串拼接的方式，此时，我们严格检查参数的数据类型，还有可以使用一些安全函数，来方式sql注入。

比如 String sql = "select id,no from user where id=" + id;

在接收到用户输入的参数时，我们就严格检查 id，只能是int型。复杂情况可以使用正则表达式来判断。这样也是可以防止sql注入的。

安全函数的使用，比如：

 MySQLCodec codec = new MySQLCodec(Mode.STANDARD);
        name = ESAPI.encoder().encodeForSQL(codec, name);
        String sql = "select id,no from user where name=" + name;
ESAPI.encoder().encodeForSQL(codec, name)

该函数会将 name 中包含的一些特殊字符进行编码，这样 sql 引擎就不会将name中的字符串当成sql命令来进行语法分析了。

注：

实际项目中，一般我们都是采用各种的框架，比如ibatis, hibernate,mybatis等等。他们一般也默认就是sql预编译的。对于ibatis/mybatis，如果使用的是 #{name}形式的，那么就是sql预编译，使用 ${name} 就不是sql预编译的。

参考：http://www.cnblogs.com/digdeep/p/4715245.html