sql注入

 

• SQL注入

所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。

• 白盒测试方法

1. SQL处理框架

需向开发确认是否使用sql处理框架，常用sql处理框架有Mybatis、Hibernate、JDBCTemplate、Dbutils。

1. Mybatis框架

1. 简介

MyBatis 是一款优秀的持久层框架，它支持定制化 SQL、存储过程以及高级映射。MyBatis 避免了几乎所有的 JDBC 代码和手动设置参数以及获取结果集。MyBatis 可以使用简单的 XML 或注解来配置和映射原生信息，将接口和 Java 的 POJOs(Plain Old Java Objects,普通的 Java对象)映射成数据库中的记录。

1. 识别方法

（1）代码中全局搜索mybatis关键字

（2）查看mybatis的jar包

1. 测试方法

从接口出发，查看业务使用的Mybatis的配置文件是否存在使用“$”符号进行站位的，如果没有使用“$”符号进行站位则不存在SQL注入问题；如果存在使用“$”符号进行站位，则需要查看代码是否对该参数进行过滤和校验。

（1）没有使用“$”符号进行站位

Mybatis配置文件

业务代码使用：

（2）使用“$”符号进行站位

Mybatis配置文件：

业务代码使用：

如上sortField和sortType是直接从外部输入中传进来的，如果不进行校验，则会存在SQL注入问题，例如输入1’ or ‘1’=’1。

1. 原因

Mybatis本身是基于JDBC封装的。#{para}是预编译处理（PreparedStatement）范畴的。${para}是字符串替换。Mybatis在处理#时，会调用PreparedStatement的set系列方法来赋值；处理$时，就是把${para}替换成变量的值。使用#{para}可以有效的防止SQL注入，提高系统安全性。

1. Hibernate框架

1. 简介

Hibernate是一个基于jdbc的开源的持久化框架，是一个优秀的ORM实现，它很大程度的简化了dao层编码工作。Hibernate对JDBC访问数据库的代码做了封装，大大简化了数据访问层繁琐的重复性代码。
在分层结构中处于持久化层，封装对数据库的访问细节，使业务逻辑层更专注于实现业务逻辑。

1. 识别方法

（1）全局搜索hibernate

（2）查看hibernate的jar包

1. 测试方法

从接口出发，查看业务使用的Hibernate的配置文件是否使用:param的形式指定参数，如果不是则存在SQL注入问题。

Hibernate框架的sql语句处理有两种方式，一种是类似mybatis将sql语句放置于配置文件（一般文件时*sqlmap*.xml）中，在代码中通过name或者id关联SQL语句。

还有一种方式就是直接在代码中拼接SQL语句

（2）错误示例

上述代码是一段Hibernate数据库查询语句，HQL转换成SQL通过PrepareStatement接口调用数据库查询，但如果在动态构建HQL查询时包含不可信输入，则存在SQL注入问题，上述代码其实相当于：“select * from MOMLinkPort where momlinkId = ‘” + linkid + “’”，正确的使用是queryString.append(:linkid)。

1. JDBCTemplate框架

1. 简介

为了使 JDBC 更加易于使用,Spring 在 JDBCAPI 上定义了一个抽象层, 以此建立一个JDBC存取框架，JDBCTemplate是Spring对jdbc的封装，但sql还是得自己写。

1. 识别方法

查看项目有没有引用spring-jdbc的jar包或者全局搜索关键字：org.springframework.jdbc.core.JdbcTemplate

1. 测试方法

如果业务使用了JDBCTemplate，则需要检查每个SQL处理的地方，是否使用“?”对参数进行站位，如果使用“?”进行站位了，则不存在SQL注入问题，如果没有使用“?”，而是直接拼接外部参数则存在SQL注入问题。

正确示例：

如上对参数使用“?”进行站位，jdbctemplate在进行SQL处理的时候会自动进行预编译，如果没有使用“?”进行站位，拼接外部输入参数，则会按照拼接的参数进行预编译，会导致恶意输入改变原有SQL语义，导致SQL注入问题。

错误示例：

上述sql语句存在外部拼接username，存在SQL注入问题，需要对username进行参数校验。

1. Dbutils框架

1. 简介

DbUtils库是一套小巧的用来简化 JDBC 调用的库。JDB源代码库单调且易出错，所以DBUtils 类抽象出所有简单的任务，让你更专注于使用JDBC做Query和Update的工作。

DbUtils的优势：

在使用JDBC访问数据库是，有大量重复的代码（注册驱动，获取连接，访问数据库，处理结果集，释放资源等）DbUtils抽象并封装了这些操作，方便开发人员DAO操作。

1. 识别方法

使用的jar包：

commons-dbutils-1.3.jar

1. 测试方法

PreparedStatement 可以避免SQL注入攻击

Sql注入原理：

一个注入的例子：

1. 预编译
   1. 简介

如果业务代码没有使用任何SQL处理框架，则在进行SQL处理时需要对SQL进行预编译处理，否则存在SQL注入问题。

1. 1.  测试方法

查SQL语句是否使用“?”进行站位，然后使用prepareStatement方法进行统一预编译处理，先预编译处理再执行SQL，这样可以保证没有SQL注入问题。

正确示例：

 

注意，在prepareStatement进行预编译前需要对SQL语句参数使用“?”进行站位，否则会导致SQL语义已经被拼接的外部参数改变，再进行预编译已经没有意义了，如下错误示例所示：