SQL 注入

漏洞描述

SQL注入是一种网络安全漏洞，允许攻击者干扰应用程序对其数据库的查询。它通常允许攻击者查看他们无权检索的数据，这可能包括属于其他用户的数据，或应用程序本身能够访问的任何其他数据。在许多情况下，攻击者可以修改或删除这些数据，导致应用程序的内容或行为发生持续变化。

在某些情况下，攻击者可以升级SQL注入攻击，以破坏底层服务器或其他后端基础设施，或执行拒绝服务攻击。

漏洞影响

成功的SQL注入攻击会导致未经授权访问敏感数据，如密码、信用卡细节或个人用户信息。近年来，许多备受瞩目的数据泄露事件都是由于SQL注入攻击造成的，这可能导致企业声誉受损和监管罚款。在某些情况下，攻击者可以获得一个进入组织系统的持久性后门，导致长期的泄密，而这种泄密可能在很长一段时间内都不会被发现。

修复建议

通过使用参数化查询而不是在查询中进行字符串拼接，可以防止大多数SQL注入。

下面的代码很容易受到SQL注入的影响，因为用户输入的内容直接在查询中进行了拼接：

String query = "SELECT * FROM products WHERE category = '"+ input + "'";

Statement statement = connection.createStatement();

ResultSet resultSet = statement.executeQuery(query)

这段代码可以很容易地重写，以防止用户输入干扰查询数据：

PreparedStatement statement = connection.prepareStatement("SELECT * FROM products WHERE category = ?");

statement.setString(1, input);

ResultSet resultSet = statement.executeQuery()

参数化查询可以用于任何不受信任的输入作为数据出现在查询中的情况，包括WHERE子句和INSERT或UPDATE语句中的值。它们不能用于处理查询中其他部分的不信任输入，如表或列名，或ORDER BY子句。