SQL注入问题

最新推荐文章于 2022-07-25 19:38:54 发布

网虫外外

最新推荐文章于 2022-07-25 19:38:54 发布

阅读量2.9k

点赞数

文章标签： sql 数据库 database

本文链接：https://blog.csdn.net/qq_45326705/article/details/121478775

版权

本文介绍了SQL注入的概念，它是通过在Web表单中插入恶意SQL命令，欺骗服务器执行，从而获取敏感信息或破坏数据库的一种攻击方式。示例代码演示了一个易受攻击的login方法，其中恶意输入可以导致信息泄露。了解并防止SQL注入对于保障网站安全性至关重要。

摘要由CSDN通过智能技术生成

所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将(恶意的)SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入(恶意)SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击

package com.haoran.lesson2;

import com.haoran.lesson2.utils.jdbcUtils;

import java.sql.Connection;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

public class SQL注入 {
    public static void main(String[] args) {
        //login("zhangsan","123456");正常登录
        login("' or '1=1","123456");//该处就是SQL注入，信息泄露

    }
    //写一个login登录方法
    public static void login(String username,String password){
        Connection conn = null;
        Statement st = null;
        ResultSet rs = null;

        try {
            conn= jdbcUtils.getConnection();//直接用工具类进行数据库连接
            st=conn.createStatement();//利用数据库连接conn获得SQL的执行对象st
            String sql="select * from users where NAME ='"+username+"' AND `password`='"+password+"'";
            rs =st.executeQuery(sql);
            while(rs.next()){
                System.out.print(rs.getString("Name"));
                System.out.print(rs.getString("password"));
                System.out.println("\n");
            }
        } catch (
                SQLException e) {
            e.printStackTrace();
        }finally {
            jdbcUtils.release(conn,st,rs);
        }
    }
}