数据库开发 - SQL注入与防范

最新推荐文章于 2024-11-12 10:56:30 发布

weixin_33728268

最新推荐文章于 2024-11-12 10:56:30 发布

阅读量92

点赞数

文章标签：数据库后端 java

原文链接：https://my.oschina.net/hava/blog/751973

版权

为什么80%的码农都做不了架构师？>>>

#数据库泄露的风险由于数据库通常存储的是业务的价值数据，例如用户信息、交易信息，如果这些内容泄露后果不堪设想。

携程SQL注入漏洞
输入图片说明

新浪网SQL漏洞
输入图片说明

#数据库注入在Web应用架构下，终端用户无法直接访问数据库。他们必须通过发送HTTP请求，到Java应用服务器，然后由Java应用服务器来访问后端数据库。所以，恶意用户想要获取数据库中的核心价值数据，就绕不开Java Web应用程序。他们唯一的途径，就是利用程序漏洞，伪装自己的请求，欺骗业务程序，达到最终获取数据库数据的目的。

##被注入代码示例这段程序中，根据用户名密码去后端数据库查询user表，查看是否用根据用户名密码匹配的用户。如果数据库记录返回的不为空，这个应用程序也会返回一个不为空的User对象。将信息返回调用者。输入图片说明

##注入过程 ###程序正常运行输入图片说明

###简单注入，跳过用户密码用户添加了;导致确认前半段为SQL语句，后半段的--表示被注释掉了，则最终的SQL执行，并没有经过密码的验证功能。，利用Java程序动态拼接SQL的漏洞，篡改了SQL语义，欺骗了服务器，恶意的获取了数据库中的数据。输入图片说明

##SQL注入用户在输入URL或者表单中，输入SQL命令。达到欺骗服务器的目的，篡改原有的SQL语义，发送恶意的SQL到后端，导致后端数据库信息泄露的漏洞。我们称之为SQL注入。

##问题根源 SQL注入的问题根源，在于SQL语句是动态拼接而成。在用户输入参数前，我们SQL语义本身是不确定的。如果用户输入的参数，夹带着SQL命令的特殊字符，会导致原有的SQL语义发生改变。举例
输入图片说明
原始SQL语义，是通过两个过滤条件，确认用户信息。但篡改后，只执行了一个SQL过滤条件。

##解决方案

###PrepatedStatement对象由于是动态拼接SQL造成的漏洞。首先我们应当确定SQL的语义，然后要保证能够传入的SQL参数，不改变SQL语义。我们可以通过connection.preparedStatement(sql)来创建preparedStatement对象，preparedStatement对象实现了Statement接口的所有方法，但是相对于Statement最大的优势提供了参数化的SQL的方式。我们调用preparedStatement方法，传入格式化的SQL语句。格式化SQL是指所有外部需要出入的参数都使用?代替。这样我们就生成了preparedStatement对象。也就是说SQL语义伴随着获取对象，确定了语义。?代替了参数，实现了占位符的功能。connection.preparedStatement(sql)主要确定SQL的语义。

输入图片说明

###PrepatedStatement传入参数我们按照格式化参数，从左到右的出现顺序。根据参数类型，如果是Int我们就使用setInt()，如果是String我们就使用setString()，传入参数的函数有两个参数，一个是序号，参数从左到右的出现顺序。在下图例子中userName是在password前面，userName参数是1，password参数是2。第二个就是我们所要输入具体的值。经过上面函数所需要的两个参数，我们就把参数的值传入到了SQL里面。并且这个参数可以保证不能变更SQL的语义，完成了参数的注入。PrepatedStatement是最基本也是最常用的预防SQL注入的方法。

输入图片说明

##实例测试 ###初始化数据库

CREATE TABLE `user_login` (
`Id`  int NOT NULL AUTO_INCREMENT ,
`userName`  varchar(100) NULL ,
`sex`  int NULL ,
`password`  varchar(100) NULL ,
PRIMARY KEY (`Id`)
)
;


INSERT INTO `user_login` (`Id`, `userName`, `sex`, `password`) VALUES ('1', 'Zhangsi', '0','123456');
INSERT INTO `user_login` (`Id`, `userName`, `sex`, `password`) VALUES ('2', 'LiSan', '0','123456');
INSERT INTO `user_login` (`Id`, `userName`, `sex`, `password`) VALUES ('3', 'GuoYi', '0','123456');

###被注入的SQL语句

Class.forName(JDBC_DRIVER);

        try {
            connection = DriverManager.getConnection(DB_URL,USER,PASSWORD);
            statement = connection.createStatement();
            String sql = "SELECT * FROM user_login WHERE userName = '"+ username + "' AND password = " +password;
            resultSet = statement.executeQuery(sql);

            while(resultSet.next())
            {
                user = new User();
                user.setId(resultSet.getInt("id"));
                user.setUserName(resultSet.getString("userName"));
                user.setSex(resultSet.getInt("sex"));
                user.setPassword(resultSet.getString("password"));
            }
        } catch (SQLException e)
        {
            System.out.println(e.toString());
        }
        finally {
            try{
                if(connection != null) connection.close();
                if(statement != null)statement.close();
                if(resultSet != null)resultSet.close();

            }catch (SQLException e)
            {

            }
        }

###注入测试

    public void testLoginError() throws Exception {
        User user = Login.login("Zhangsi\';-- ","1234567");
        if(user == null)
            System.out.println(false);
        else
            System.out.println(true);
    }

###输出结果

true

###使用parentStatement

        try {
            connection = DriverManager.getConnection(DB_URL,USER,PASSWORD);
//            statement = connection.createStatement();
            String sql = "SELECT * FROM user_login WHERE userName = '"+ username + "' AND password = " +password;
//            resultSet = statement.executeQuery(sql);

            sql = "SELECT * FROM user_login WHERE userName = ? AND password = ?";
            preparedStatement = connection.prepareStatement(sql);
            preparedStatement.setString(1,username);
            preparedStatement.setString(2,password);

            resultSet = preparedStatement.executeQuery();
            while(resultSet.next())
            {
                user = new User();
                user.setId(resultSet.getInt("id"));
                user.setUserName(resultSet.getString("userName"));
                user.setSex(resultSet.getInt("sex"));
                user.setPassword(resultSet.getString("password"));
            }
        } catch (SQLException e)
        {
            System.out.println(e.toString());
        }
        finally {
            try{
                if(connection != null) connection.close();
                if(preparedStatement != null)preparedStatement.close();
                if(resultSet != null)resultSet.close();

            }catch (SQLException e)
            {

            }
        }

输出