防御SQL注入的方法总结

举报
SHQ5785 发表于 2022/08/13 09:36:01 2022/08/13
【摘要】 这篇文章主要讲解了防御SQL注入的方法,介绍了什么是注入,注入的原因是什么,以及如何防御,需要的朋友可以参考下。      SQL注入是一类危害极大的攻击形式。虽然危害很大,但是防御却远远没有XSS那么困难。     SQL注入可以参见:https://en.wikipedia.org/wiki/SQL_injection     SQL注入漏洞存在的原因,就是拼接 SQL 参数。也就是将用...

这篇文章主要讲解了防御SQL注入的方法,介绍了什么是注入,注入的原因是什么,以及如何防御,需要的朋友可以参考下。

      SQL注入是一类危害极大的攻击形式。虽然危害很大,但是防御却远远没有XSS那么困难。

     SQL注入可以参见:https://en.wikipedia.org/wiki/SQL_injection

     SQL注入漏洞存在的原因,就是拼接 SQL 参数。也就是将用于输入的查询参数,直接拼接在 SQL 语句中,导致了SQL 注入漏洞。

1.演示下经典的SQL注入


      如果该语句是通过sql字符串拼接得到的,比如: String sql = "select id,no from user where id=" + id;

      其中的 id 是一个用户输入的参数,那么,如果用户输入的是 2, 那么上面看到查到了一条数据,如果用户输入的是 2 or 1=1 进行sql注入攻击。

      那么看到,上面的语句(select id,no from user where id=2 or 1=1;)将user表中的所有记录都查出来了。

     这就是典型的sql注入。

      再看一列:


     我们看到通过 sql 注入能够直接将表 sqlinject 删除掉!可见其危害!

2.sql注入的原因

      sql注入的原因,表面上说是因为拼接字符串,构成sql语句,没有使用sql语句预编译,绑定变量造成的。

      但是更深层次的原因是将用户输入的字符串,当成了“sql语句”来执行。

      比如上面的 String sql = "select id,no from user where id=" + id;

     我们希望用户输入的id的值,仅仅作为一个字符串字面值,传入数据库执行,但是当输入了:2 or 1=1 时,其中的 or 1=1 并没有作为 where id= 的字面值,而是作为了 sql语句 来执行的。所以其本质是将用户的输入的数据,作为了命令来执行。

3. sql注入的防御

      1> 基本上大家都知道 采用sql语句预编译和绑定变量,是防御sql注入的最佳方法。但是其中的深层次原因就不见得都理解了。

      String sql = "select id, no from user where id=?";

         PreparedStatement ps = conn.prepareStatement(sql);

         ps.setInt(1, id);

         ps.executeQuery();

      如上所示,就是典型的采用sql语句预编译和绑定变量。为什么这样就可以防止sql 注入呢?

      其原因就是:采用了PreparedStatement,就会将sql语句:"select id, no from user where id=?" 预先编译好,也就是SQL引擎会预先进行语法分析,产生语法树,生成执行计划,也就是说,后面你输入的参数,无论你输入的是什么,都不会影响该sql语句的语法结构了,因为语法分析已经完成了,而语法分析主要是分析sql命令,比如 select ,from ,where ,and, or ,order by 等等。所以即使你后面输入了这些sql命令,也不会被当成sql命令来执行了,因为这些sql命令的执行,必须先得通过语法分析,生成执行计划,既然语法分析已经完成,已经预编译过了,那么后面输入的参数,是绝对不可能作为sql命令来执行的,只会被当做字符串字面值参数。所以sql语句预编译可以防御sql注入。

      2> 但是不是所有场景都能够采用 sql语句预编译,有一些场景必须的采用字符串拼接的方式,此时,我们严格检查参数的数据类型,还有可以使用一些安全函数,来方式sql注入。

      比如 String sql = "select id,no from user where id=" + id;

     在接收到用户输入的参数时,我们就严格检查 id,只能是int型。复杂情况可以使用正则表达式来判断。这样也是可以防止sql注入的。

      安全函数的使用,比如:  

      MySQLCodec codec = new MySQLCodec(Mode.STANDARD);

         name = ESAPI.encoder().encodeForSQL(codec, name);

        String sql = "select id,no from user where name=" + name;

      ESAPI.encoder().encodeForSQL(codec, name)

      该函数会将 name 中包含的一些特殊字符进行编码,这样 sql 引擎就不会将name中的字符串当成sql命令来进行语法分析了。

      实际项目中,一般我们都是采用各种的框架,比如ibatis,mybatis,hibernate等等。他们一般也默认就是sql预编译的。对于ibatis/mybatis,如果使用的是 #{name}形式的,那么就是sql预编译,使用 ${name} 就不是sql预编译的。

      以上就是SQL注入防御方法总结,希望对大家之后的学习有所帮助。

【版权声明】本文为华为云社区用户原创内容,未经允许不得转载,如需转载请自行联系原作者进行授权。如果您发现本社区中有涉嫌抄袭的内容,欢迎发送邮件进行举报,并提供相关证据,一经查实,本社区将立刻删除涉嫌侵权内容,举报邮箱: cloudbbs@huaweicloud.com
  • 点赞
  • 收藏
  • 关注作者

评论(0

0/1000
抱歉,系统识别当前为高风险访问,暂不支持该操作

全部回复

上滑加载中

设置昵称

在此一键设置昵称,即可参与社区互动!

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。

*长度不超过10个汉字或20个英文字符,设置后3个月内不可修改。