早些年IT行业是以功能实现为主,现在随着业务的推行,系统不再孤立,防止安全渗透是重要的工作项。
就像做自动化平台,可以节约人力实现百万服务器的自动运维,同样也可以批量获取root权限,格式化全量服务器。
做平台项目安全终于功能,当一个系统能力越大同样被渗透后破坏也就更大。
定位:
这里作为开发人员,不做深入探讨。
1、SQL注入简介
Sql 注入攻击是通过将恶意的 Sql 查询或添加语句插入到应用的输入参数中,再在后台 Sql 服务器上解析执行进行的攻击,它目前黑客对数据库进行攻击的最常用手段之一。
这里不举例子了,几年前手工拼写sql会有这些漏洞,随着目前主流框架推行,基本都做了动态绑定。
2、应用开发中可以采取的应用措施
ssm是主流框架,目前前后端分离,基本没有什么db交互是写在什么PHP或者JSP里面了。
2.1、PrepareStatement+Bind-Variable
2.2、使用应用程序提供的转换函数
- MySQL C API:使用mysql_real_escape_string() API调用;
- MySQL++:使用escape和quote修饰符;
- PHP:4.3版本之前使用mysql_real_escape_string()函数,PHP5开始使用扩展的MySQLI;
- Perl DBI:使用placeholders或者quote()方法;
- Ruby DBI:使用placeholders或者quote()方法;
2.3、自定义函数进行校验
基本没用到过,大多安全加固都是针对http等请求的拦截过滤,自定义往往是对标准功能的强化。
- 通过函数校验入参的业务属性。
- 过滤非法符号例如:% ,=,or,and 等等。