SQL 注入防禦方法總結

2021-08-09 07:13:21 字數 2504 閱讀 6863

sql 注入是一類危害極大的攻擊形式。雖然危害很大,但是防禦卻遠遠沒有xss那麼困難。

sql 注入可以參見:

sql 注入漏洞存在的原因,就是拼接 sql 引數。也就是將用於輸入的查詢引數,直接拼接在 sql 語句中,導致了sql 注入漏洞。

1. 演示下經典的sql注入

我們看到:select id,no from user where id=2;

如果該語句是通過sql字串拼接得到的,比如: string sql = 「select id,no from user where id=」 + id;

其中的 id 是乙個使用者輸入的引數,那麼,如果使用者輸入的是 2, 那麼上面看到查到了一條資料,如果使用者輸入的是 2 or 1=1 進行sql注入攻擊,

那麼看到,上面的語句(select id,no from user where id=2 or 1=1;)將user表中的所有記錄都查出來了。

這就是典型的sql注入。

再看一列:

我們看到通過 sql 注入能夠直接將表 sqlinject 刪除掉!可見其危害!

2. sql 注入的原因

sql注入的原因,表面上說是因為 拼接字串,構成sql語句,沒有使用 sql語句預編譯,繫結變數。

但是更深層次的原因是,將使用者輸入的字串,當成了 「sql語句」 來執行。

比如上面的 string sql = 「select id,no from user where id=」 + id;

我們希望使用者輸入的 id 的值,僅僅作為乙個字串字面值,傳入資料庫執行,但是當輸入了: 2 or 1=1 時,其中的 or 1=1 並沒有作為 where id= 的字面值,而是作為了 sql語句 來執行的。所以其本質是將使用者的輸入的資料,作為了命令來執行。

3. sql注入的防禦

1> 基本上大家都知道 採用sql語句預編譯和繫結變數,是防禦sql注入的最佳方法。但是其中的深層次原因就不見得都理解了。

string sql = "select id, no

from

user

where id=?";

preparedstatement ps = conn.preparestatement(sql);

ps.setint(1, id);

ps.executequery();

如上所示,就是典型的採用 sql語句預編譯和繫結變數 。為什麼這樣就可以防止sql 注入呢?

其原因就是:採用了preparedstatement,就會將sql語句:」select id, no from user where id=?」 預先編譯好,也就是sql引擎會預先進行語法分析,產生語法樹,生成執行計畫,也就是說,後面你輸入的引數,無論你輸入的是什麼,都不會影響該sql語句的 語法結構了,因為語法分析已經完成了,而語法分析主要是分析sql命令,比如 select ,from ,where ,and, or ,order by 等等。所以即使你後面輸入了這些sql命令,也不會被當成sql命令來執行了,因為這些sql命令的執行, 必須先的通過語法分析,生成執行計畫,既然語法分析已經完成,已經預編譯過了,那麼後面輸入的引數,是絕對不可能作為sql命令來執行的,只會被當做字串字面值引數。所以sql語句預編譯可以防禦sql注入。

2> 但是不是所有場景都能夠採用 sql語句預編譯,有一些場景必須的採用 字串拼接的方式,此時,我們嚴格檢查引數的資料型別,還有可以使用一些安全函式,來方式sql注入。

比如 string sql = "select id,no

from

user

where id=" + id;

在接收到使用者輸入的引數時,我們就嚴格檢查 id,只能是int型。複雜情況可以使用正規表示式來判斷。這樣也是可以防止sql注入的。

安全函式的使用,比如:

mysqlcodec codec = new mysqlcodec(mode.standard);

name = esapi.encoder().encodeforsql(codec, name);

string sql = "select id,no from user where name=" + name;

esapi.encoder().encodeforsql(codec, name)

該函式會將 name 中包含的一些特殊字元進行編碼,這樣 sql 引擎就不會將name中的字串當成sql命令來進行語法分析了。

注:實際專案中,一般我們都是採用各種的框架,比如ibatis, hibernate,mybatis等等。他們一般也預設就是sql預編譯的。對於ibatis/mybatis,如果使用的是 #形式的,那麼就是sql預編譯,使用 $ 就不是sql預編譯的。

防禦SQL注入的方法總結

這篇文章主要講解了防禦sql注入的方法,介紹了什麼是注入,注入的原因是什麼,以及如何防禦,需要的朋友可以參考下 sql 注入是一類危害極大的攻擊形式。雖然危害很大,但是防禦卻遠遠沒有xss那麼困難。sql 注入可以參見 sql 注入漏洞存在的原因,就是拼接 sql 引數。也就是將用於輸入的查詢引數,...

防禦SQL注入的方法總結

這篇文章主要講解了防禦sql注入的方法,介紹了什麼是注入,注入的原因是什麼,以及如何防禦,需要的朋友可以參考下 sql 注入是一類危害極大的攻擊形式。雖然危害很大,但是防禦卻遠遠沒有xss那麼困難。sql 注入可以參見 sql 注入漏洞存在的原因,就是拼接 sql 引數。也就是將用於輸入的查詢引數,...

SQL 注入的原因 本質及防禦方法總結

sql 注入漏洞存在的原因,就是拼接 sql 引數。也就是將用於輸入的查詢引數,直接拼接在 sql 語句中,導致了sql 注入漏洞。1.演示下經典的sql注入 我們看到 select id,no from user where id 2 如果該語句是通過sql字串拼接得到的,比如 string sq...