系统开发SQL中的安全问题

回到首页☞

早些年IT行业是以功能实现为主，现在随着业务的推行，系统不再孤立，防止安全渗透是重要的工作项。
就像做自动化平台，可以节约人力实现百万服务器的自动运维，同样也可以批量获取root权限，格式化全量服务器。
做平台项目安全终于功能，当一个系统能力越大同样被渗透后破坏也就更大。

定位：
这里作为开发人员，不做深入探讨。

1、SQL注入简介

Sql 注入攻击是通过将恶意的 Sql 查询或添加语句插入到应用的输入参数中，再在后台 Sql 服务器上解析执行进行的攻击，它目前黑客对数据库进行攻击的最常用手段之一。
这里不举例子了，几年前手工拼写sql会有这些漏洞，随着目前主流框架推行，基本都做了动态绑定。

2、应用开发中可以采取的应用措施

ssm是主流框架，目前前后端分离，基本没有什么db交互是写在什么PHP或者JSP里面了。

2.1、PrepareStatement+Bind-Variable

2.2、使用应用程序提供的转换函数

• MySQL C API：使用mysql_real_escape_string() API调用；
• MySQL++：使用escape和quote修饰符；
• PHP：4.3版本之前使用mysql_real_escape_string()函数，PHP5开始使用扩展的MySQLI；
• Perl DBI：使用placeholders或者quote()方法；
• Ruby DBI：使用placeholders或者quote()方法；

2.3、自定义函数进行校验

基本没用到过，大多安全加固都是针对http等请求的拦截过滤，自定义往往是对标准功能的强化。

• 通过函数校验入参的业务属性。
• 过滤非法符号例如：% ，=，or，and 等等。

回到首页☞