2. 程式人生 > >什麼叫做SQL注入，如何防止？

什麼叫做SQL注入，如何防止？

阿新 • • 發佈：2018-11-01
 所謂SQL注入式攻擊，就是攻擊者把SQL命令插入到Web表單的輸入域或頁面請求的查詢字串，欺騙伺服器執行惡意的SQL命令。在某些表單中，使用者輸入的內容直接用來構造(或者影響)動態SQL命令，或作為儲存過程的輸入引數，這類表單特別容易受到SQL注入式攻擊。常見的SQL注入式攻擊過程類如： 　　⑴ 某個ASP.NET Web應用有一個登入頁面，這個登入頁面控制著使用者是否有權訪問應用，它要求使用者輸入一個名稱和密碼。 　　⑵ 登入頁面中輸入的內容將直接用來構造動態的SQL命令，或者直接用作儲存過程的引數。下面是ASP.NET應用構造查詢的一個例子： 　　System.Text.StringBuilder query = new System.Text.StringBuilder("SELECT * from Users WHERE login = ’")。Append(txtLogin.Text)。Append("’ AND password=’")。Append(txtPassword.Text)。Append("’"); 　　⑶ 攻擊者在使用者名稱字和密碼輸入框中輸入"’或’1’=’1"之類的內容。 　　⑷ 使用者輸入的內容提交給伺服器之後，伺服器執行上面的ASP.NET程式碼構造出查詢使用者的SQL命令，但由於攻擊者輸入的內容非常特殊，所以最後得到的SQL命令變成：SELECT * from Users WHERE login = ’’ or ’1’=’1’ AND password = ’’ or ’1’=’1’. 　　⑸ 伺服器執行查詢或儲存過程，將使用者輸入的身份資訊和伺服器中儲存的身份資訊進行對比。 　　⑹ 由於SQL命令實際上已被注入式攻擊修改，已經不能真正驗證使用者身份，所以系統會錯誤地授權給攻擊者。 　　如果攻擊者知道應用會將表單中輸入的內容直接用於驗證身份的查詢，他就會嘗試輸入某些特殊的SQL字串篡改查詢改變其原來的功能，欺騙系統授予
訪問許可權。 　　系統環境不同，攻擊者可能造成的損害也不同，這主要由應用訪問資料庫的安全許可權決定。如果使用者的帳戶具有管理員或其他比較高階的許可權，攻擊者就可能對資料庫的表執行各種他想要做的操作，包括新增、刪除或更新資料，甚至可能直接刪除表。　　二、如何防範? 　　好在要防止ASP.NET應用被SQL注入式攻擊闖入並不是一件特別困難的事情，只要在利用表單輸入的內容構造SQL命令之前，把所有輸入內容過濾一番就可以了。過濾輸入內容可以按多種方式進行。 　　⑴ 對於動態構造SQL查詢的場合，可以使用下面的技術： 　　第一：替換單引號，即把所有單獨出現的單引號改成兩個單引號，防止攻擊者修改SQL命令的含義。再來看前面的例子，“SELECT * from Users WHERE login = ’’’ or ’’1’’=’’1’ AND password = ’’’ or ’’1’’=’’1’”顯然會得到與“SELECT * from Users WHERE login = ’’ or ’1’=’1’ AND password = ’’ or ’1’=’1’”不同的結果。 　　第二：刪除使用者輸入內容中的所有連字元，防止攻擊者構造出類如“SELECT * from Users WHERE login = ’mas’ —— AND password =’’”之類的查詢，因為這類查詢的後半部分已經被註釋掉，不再有效，攻擊者只要知道一個合法的
使用者登入名稱，根本不需要知道使用者的密碼就可以順利獲得訪問許可權。 　　第三：對於用來執行查詢的資料庫帳戶，限制其許可權。用不同的使用者帳戶執行查詢、插入、更新、刪除操作。由於隔離了不同帳戶可執行的操作，因而也就防止了原本用於執行SELECT命令的地方卻被用於執行INSERT、UPDATE或DELETE命令。 　　⑵ 用儲存過程來執行所有的查詢。SQL引數的傳遞方式將防止攻擊者利用單引號和連字元實施攻擊。此外，它還使得資料庫許可權可以限制到只允許特定的儲存過程執行，所有的使用者輸入必須遵從被呼叫的儲存過程的安全上下文，這樣就很難再發生注入式攻擊了。 　　⑶ 限制表單或查詢字串輸入的長度。如果使用者的登入名字最多隻有10個字元，那麼不要認可表單中輸入的10個以上的字元，這將大大增加攻擊者在SQL命令中插入有害程式碼的難度。 　　⑷ 檢查使用者輸入的合法性，確信輸入的內容只包含合法的資料。資料檢查應當在客戶端和
伺服器端都執行——之所以要執行伺服器端驗證，是為了彌補客戶端驗證機制脆弱的安全性。 　　在客戶端，攻擊者完全有可能獲得網頁的原始碼，修改驗證合法性的指令碼(或者直接刪除指令碼)，然後將非法內容通過修改後的表單提交給伺服器。因此，要保證驗證操作確實已經執行，唯一的辦法就是在伺服器端也執行驗證。你可以使用許多內建的驗證物件，例如RegularExpressionValidator，它們能夠自動生成驗證用的客戶端指令碼，當然你也可以插入伺服器端的方法呼叫。如果找不到現成的驗證物件，你可以通過CustomValidator自己建立一個。 　　⑸ 將使用者登入名稱、密碼等資料加密儲存。加密使用者輸入的資料，然後再將它與資料庫中儲存的資料比較，這相當於對使用者輸入 　　的資料進行了“消毒”處理，使用者輸入的資料不再對資料庫有任何特殊的意義，從而也就防止了攻擊者注入SQL命令。 System.Web.Security.FormsAuthentication類有一個 HashPasswordForStoringInConfigFile，非常適合於對輸入資料進行消毒處理。 　　⑹ 檢查提取資料的查詢所返回的記錄數量。如果程式只要求返回一個記錄，但實際返回的記錄卻超過一行，那就當作出錯處理。

相關推薦

什麼叫做SQL注入，如何防止？

 所謂SQL注入式攻擊，就是攻擊者把SQL命令插入到Web表單的輸入域或頁面請求的查詢字串，欺騙伺服器執行惡意的SQL命令。在某些表單中，使用者輸入的內容直接用來構造(或者影響)動態SQL命令，或作為儲存過程的輸入引數，這類表單特別容易受到SQL注入式攻擊。常見的SQL注入式攻擊過

過濾SQL關鍵字，防止SQL注入

轉自https://blog.csdn.net/qq_26947857/article/details/80745655 定義一個方法進行關鍵字的過濾，方法中使用正則表示式過濾： ///<summary> /// 過濾字串中注入SQL指令碼的方法

AOP實踐--ASP.NET MVC 5使用Filter過濾Action引數防止sql注入，讓你程式碼安全簡潔

在開發程式的過程中，稍微不注意就會隱含有sql注入的危險。今天我就來說下，ASP.NET mvc 5使用Filter過濾Action引數防止sql注入，讓你程式碼安全簡潔。不用每下地方對引數的值都進行檢查，看是使用者輸入的內容是否有危險的sql。如果沒個地方都要加有幾個缺

springboot-防止sql注入，xss攻擊，cros惡意訪問

springboot-防止sql注入，xss攻擊，cros惡意訪問 文章目錄 springboot-防止sql注入，xss攻擊，cros惡意訪問 1.sql注入 2.xss攻擊 3.csrf/cros 完

SQL或HQL預編譯語句，能夠防止SQL注入，但是不能處理%和_特殊字元

最近專案在做整改，將所有DAO層的直接拼接SQL字串的程式碼，轉換成使用預編譯語句的方式。個人通過寫dao層的單元測試，有以下幾點收穫。 dao層程式碼如下 //使用了預編譯sql public Li

JDBC學習之路（三）防止SQL注入，PreparedStatement探索

   現在登入註冊或者其他很多地方遇到使用者輸入的內容可以直接拿到資料庫內部去進行執行SQL語句，這個是一項很危險的運動，因為你不知道使用者會輸入什麼，如果使用者對SQL語句很熟悉，他就可以在輸入的時候加上''兩個冒號作為特殊字元，這樣的話會讓計算機認為他輸入的是SQL語句

命名引數，防止sql注入，使用named parameter

使用named parameter String hql = "from BuildHibernate p where p.beimId= :beimId  ";         Query query = getSession().createQuery(hql);   

sql注入與防止sql注入

資料庫中的資料 sql程式碼 package com.zjw.jdbc2; import java.sql.Connection; import java.sql.DriverManager; import java.sql.ResultSet; import java.sql.

sql注入與防止SQL注入之引數化處理

sql注入的兩種情況： 操作程式碼： import pymysql user = input('使用者名稱: ').strip() pwd = input('密碼: ').strip() # 連結 conn = pymysql.connect(host='localhost', user='ro

SQL注入，PreparedStatement和Statement

程式碼區 還是一個工具類 程式碼： package cn.itcats.jdbc; import java.sql.Connection;import java.sql.DriverManager;import java.sql.ResultSet;import java.sql.SQLE

Python 資料庫，操作mysql，防sql注入，引數化

  demo.py（防sql注入）： from pymysql import * def main(): find_name = input("請輸入物品名稱：") # 建立Connection連線 conn = connect(host='local

Django之sql注入，XSS攻擊，CSRF攻擊原理及防護

sql注入的危害非法操作使用者資料庫的資料來獲取利益，通過修改資料庫來修改網頁的內容，注入木馬等比如下面的使用者登入時進行sql注入class LoginUnsafeView(View): def get(self,request): return r

SQL注入及防止注入措施

1、Sql注入是怎麼產生的？ WEB開發人員無法保證所有的輸入都已經過濾 攻擊者利用傳送給SQL伺服器的輸入資料構造可執行的SQL程式碼 資料庫未做相應的安全配置 2、如何尋找Sql注入？ 識別web應用中的所有輸入點 瞭解哪些型別的請求會出發異

關於spring 防sql注入，轉義反轉義，入參檢查

收集下面連結，很好的解決sql注入和入參檢查以及編碼解碼問題，有需要的可以參考學習 阿里的資料連線池 Druid是Java語言中最好的資料庫連線池。Druid能夠提供強大的監控和擴充套件功能。 https://github.com/alibaba/druid/wiki/%E

什麼是sql注入，xss漏洞？

            XSS（Cross Site Script）跨站指令碼攻擊，指惡意攻擊者往web頁面插入惡意指令碼程式碼，而程式對於使用者輸入內容未過濾，當用戶瀏覽該頁面時，嵌入其中的web裡面的指令碼程式碼會被執行，從而達到惡意攻擊使用者的特殊目的。因此，一般在表單

XssFilter防止指令碼注入，防止xss攻擊

主要用到commons-lang3-3.1.jar這個包的org.apache.commons.lang3.StringEscapeUtils.escapeHtml4()這個方法。 解決過程主要在使用者輸入和顯示輸出兩步：在輸入時對特殊字元如<>"

MySQL— pymysql模組（防止sql注入），視覺化軟體Navicat

一.Pymysql import pymysql #python2.X 中是 mysqldb 和 pythonmysql 用法是一模一樣的 #pymysql可以偽裝成上面這兩個模組 user = input('username: ') pwd = input('passwo

玩轉JDBC打造資料庫操作萬能工具類JDBCUtil，加入了高效的資料庫連線池，利用了引數繫結有效防止SQL注入

SELECT * FROM emp_test 成功查詢到了14行資料 第1行：{DEPT_TEST_ID=10, EMP_ID=1001, SALARY=10000, HIRE_DATE=2010-01-12, BONUS=2000, MANAGER=1005, JOB=Manager, NAME=張無忌}

JDBC，DriverManager，Connection，Statement，ResultSet，sql的注入和防止

1、JDBC的簡介 1.1 jdbc：Java DataBase Connectivity，java資料庫的連線 1.2 比如有一臺電腦，想在電腦上安裝顯示卡，需要顯示卡的驅動，由顯示卡生產廠商

addslashes，htmlspecialchars，htmlentities轉換或者轉義php特殊字元防止xss攻擊以及sql注入

一、轉義或者轉換的目的     1. 轉義或者轉換字串防止sql注入     2. 轉義或者轉換字元防止html非過濾引起頁面佈局變化     3. 轉義或者轉換可以阻止javascript等指令碼的xss攻擊，避免出現類似惡意彈窗等等形式 二、函式     1. addslashes($str