sql注入措施

针对SQL注入的研究及其预防对策

摘要：Web中�稻菘獾挠τ迷嚼丛焦惴海�SQL的注入也成为了黑客攻击数据库比较常见的手段。文章对SQL注入攻击的一些相关原理进行了简要的说明。并对现阶段SQL注入攻击的特点进行了研究和剖析，然后在这个基础之上提供了几种对SQL进行预防的防护方法。并且对这些方法的使用情况进行了必要的说明

关键词：SQL注入 研究 预防对策

随着互联网的发展，大量的web网站开始涌现，极大地方便了人们的信息获取需求。与此同时，黑客针对网站的攻击也屡屡出现，造成了或多或少的经济损失现代社会，而近年来互联网技术的发展迅猛，以因特网为基础平台的Web应用系统在计算机的各个领域都有了越来越广泛的用途。譬如企业的办公系统以及电子商务系统等等。这些系统绝大多数都是采用的HTTP的方式进行数据的传递，然后将这些数据相关组织的数据库当中，这些数据对一些不法分子来说具有非常大的吸引力，这就给数据的安全性造成了很大的安全隐患，比较典型的就是SQL的注入。

一、SQL注入

从目前的情况来看，现在的Web应用程序在一般情况下采用的都是依靠数据库为用户进行写、度数据的方法，但是，在另一方面，由于从事程序编程人员的水平参差不齐，绝大多数编程的工作者没有在编写程序的时候对用户数据的合法性进行辨别，这就导致在应用程序的过程中出现了安全隐患。SQL注入，简单的来说，就是不法分子利用高科技手段改变原来数据的查询语句，并把这个命令提交给服务器，并在这个基础之上执行恶意的SQL命令然后不法分子在依据数据返回的结果中获取攻击者想要得到的信息，进行下一步的不法活动。

关于SQL的注入原理

众所周知，SQL注入的目的就是对数据库进行攻击，然后在攻击数据库的基础之上在攻击其所在的服务器，而这种攻击的主要方式就是不法分子将代码在参数中进行植入，而这些参数会被植入SQL命令中加已执行。例如将恶意的代码插入到字符串当中，然后在这个基础之上将这些字符串保存在数据库当中的数据表中，或者将其当作元数据，当被存储的字符串植入到动态的SQL命令当中来的时候，这些恶意的代码就会被执行。虽然数据库的类型是多种多样的，但是SQL注入攻击的原理和基本过程确是基本上都一样的。结合其他学者的相关研究，本文将SQL注入的类别分为用户登录类别以及其他类两种类型。在用户登录的类别当中，不法分子可以绕过存在安全隐患的登录框进行登录，而在其他类别中，其则需要对攻击的对象进行更深一步的分析，并对数据库的类型有一定的了解，只有通过这样的途径，其才能实现SQL的注入，也只有在这个基础之上才能毒数据库进行攻击。

前一篇是关于编程防止SQL注入的文章，那么这篇就是从测试来进行测试SQL注入。

首先，看看SQL注入攻击能分为以下三种类型：

Inband: 数据经由SQL代码注入的通道取出，这是最直接的一种攻击，通过SQL注入获取的信息直接反映到应用程序的Web页面上；

Out-of-band： 数据通过不同于SQL代码注入的方法获得(譬如通过邮件等)

推理： 这种攻击时说并没有真正的数据传输，但攻击者可以通过发送特定的请求，重组返回的结果从而得到一些信息。

不论是哪种SQL注入，攻击者都需要构造一个语法正确的SQL查询，如果应用程序对一个不正确的查询返回了一个错误消息，那么就很容易重新构造初始的查询语句的逻辑，进而也就能更容易的进行注入；如果应用程序隐藏了错误信息，那么攻击者就必须对查询逻辑进行反向工程，即我们所谓的“盲SQL注入”

黑盒测试及其示例：

这个测试的第一步是理解我们的应用程序在什么时候需要访问数据库，典型的需要方法数据库的时机是：

认证表单： 输入用户名和密码以检查是否有权限

搜索引擎： 提交字符串以从数据库中获取相应的记录

电子商务站点： 获取某类商品的价格等信息

作为测试人员，我们需要列对所有输入域的值可能用于查询的字段做一个表单，包括那些POST请求的隐含字段，然后截取查询语句并产生错误信息。第一个测试往往是用一个单引号“'”或者分号“;”，前者在SQL中是字符串终结符，如果应用程序没有过滤，则会产生一条错误信息；后者在SQL中是一条SQL语句的终结符，同样如果没有过滤，也会产生错误信息。

同样可用于测试的还有“--”以及SQL中的一些诸如“AND”的关键字，通常很常见的一种测试是在要求输入为数字的输入框中输入字符串。

通过上面的测试输入返回的错误信息能够让我们知道很多数据库的信息。这时候就需要“盲目SQL注入”了。注意，我们需要多所有可能存在的SQL注入漏洞的输入域进行测试，并且在，每个测试用例时只变化一个域的值，从而才能找到真正存在漏洞的输入域。

sql注入方法

SQL注入是常见的攻击技术之一，攻击者利用Web应用程序存在的漏洞，向数据库中插入恶意的SQL代码，以获取敏感信息、修改数据、甚至控制整个数据库的操作。以下是几种SQL注入的方法及其防范措施：

1. 基于错误的注入攻击

基于错误的注入攻击利用了应用程序对SQL语句错误的处理方式，将编写的恶意SQL语句嵌入到应用程序中，导致不稳定性和错误消息。攻击者通过错误消息获取有关数据库的详细信息。为了阻止这种攻击，应该尽可能减少错误可见性并修复SQL语句的错误处理。

2. 布尔盲注

布尔盲注是一种在没有错误信息的情况下获取数据库信息的攻击技术。它可以使攻击者在不知道准确的数据库信息的情况下，以布尔方式测试其猜测。为了防止这种攻击，应该使用预处理语句和参数化查询。

3. 堆叠查询

堆叠查询是通过一条恶意的SQL语句执行多个查询的技术。攻击者在一个查询中将多个语句串联起来，并将每个查询的结果存储在查询的结果中。为了防止这种攻击，应该使用参数化查询和限制查询执行的时间。

4. 时间盲注

时间盲注是一种仅限于返回时间值的注入攻击技巧。攻击者使用`SLEEP`函数来停止查询的执行，从而确定SQL注入的成功与否。为了阻止这种攻击，应该对输入进行过滤，并对时间延迟进行限制。

总之，SQL注入是十分常见的攻击方式，开发人员应该遵循最佳实践以防止它的发生。首先，要实行输入验证和过滤，确保输入的数据是格式正确的；其次，要实现参数化查询和限制查询执行时间来防止攻击；最后，要限制错误消息的可见性，并尽可能减少错误。这样就可以大大减少SQL注入攻击对系统的威胁。

怎样防止SQL注入

避免SQL注入的第一种方式：预编译语句

1. Connection conn = getConn();//获得连接

2. String sql = "select name from user where id= ?";

3. PreparedStatement pstmt = conn.prepareStatement(sql);

4. pstmt.setString(1, userId);

5. ResultSet rs=pstmt.executeUpdate();

第二种避免SQL注入攻击的方式：存储过程

存储过程（Stored Procedure）是一组完成特定功能的SQL语句集，经编译后存储在数据库中，用户通过调用存储过程并给定参数（如果该存储过程带有参数）就可以执行它，也可以避免SQL注入攻击。

当然用户也可以在前端做字符检查，这也是一种避免SQL注入的方式：比如对于上面的userId参数，用户检查到包含分号就提示错误。

不过，从最根本的原因看，SQL注入攻击之所以存在，是因为app在访问数据库时没有使用最小权限。想来也是，大家好像一直都在使用root账号访问数据库

那么mybatis是如何避免sql注入攻击的呢？还是以上面的表user为例：

假设mapper文件为：

[java]

view plain copy

1.

2. SELECT name FROM user where id = #{userId}

3.

对应的java文件为：

[java] view plain copy

1. public interface UserMapper{

2. String getNameByUserId(@Param("userId") String userId);

3. }

可以看到输入的参数是String类型的userId,当我们传入userId="34;drop table user;"后，打印的语句是这样的：