当前位置：文档之家 › ASP.NET网站中SQL注入攻击及防范

ASP.NET网站中SQL注入攻击及防范

  • 格式：pdf
  • 大小：101.17 KB
  • 文档页数：1

信息技术　ＳＣＩＥＮＣＥ＆ＴＥＣＨＮ０Ｌ０ＧＹ　．　
圆　
ＡＳＰ．ＮＥＴ网站中ＳＱＬ注入攻击及防范　
李婷　
（镇江高等职业技术学校　江苏镇江　２１　２０１　６）　

摘要：简要介绍了ＳＱＬ注入攻击的原理，主要针对目前ＡＳＰ．ＮＥＴ网站安全面临的ＳＱＬ注入攻击来进行分析，并从客户端和服务器端等几个　
方面来研究如何防范ＳＱＬ注入攻击。　
关键词：ＡＳＰ．ＮＥＴ　网站防范　ＳＱＬ注入攻击　
中图分类号：ＴＰ２　文献标识码：Ａ　文章编号：１　６７２－３７９１（２０ｌｏ）１　２（ａ）－００２３－－０１　

ＳＱＬ注入（ＳＱＬ　Ｉｎｊｅｃｔｉｏｎ）是一个ＷＥＢ开　发中安全性最易受到破坏的攻击方式，是　从正常的ｗｗｗ端口访问网站，提交一段　特殊的数据库查询代码，根据程序返回的　结果，获取想得知的服务器数据。由于ＳＱＬ　注入能通过网页随意修改网站数据库中　的内容，插入恶意代码，任意获得网站上　的文件以及在网页上加挂木马，所有开发　人员都需要理解和保护本层数据免受注　入式攻击。　１　ＳＱＬ注入攻击　１．１　ＳＱＬ注入攻击原理　ＳＱＬ注入式攻击就是利用程序员对用　户输入数据的合法性检测不严或不检测的　特点，从客户端提交特殊的代码，从而收集　程序及服务器的信息，获取想得到的资料，　进而获取网站管理员的帐号和密码。由于　ＳＱＬ注入表面看起来跟一般的Ｗｅｂ页面访　问没什么区别，所以目前市面的防火墙都　不会对ＳＱＬ注入发出警报，如果管理员没有　查看ＩＩＳ日志，可能被入侵很长时间都不会　发觉。这些ＳＱＬ语句不仅可以检索私有信　息，还可以修改或破坏数据库服务器上的　信息。对于服务器来说，只要注入的ＳＱＬ语　句在语法上正确的，就无法通过编程方式　在服务器端检测到篡改的情况，因为ＳＱＬ语　法允许数据库命令和用户数据混杂在一　起，如果没有考虑到恶意用户，用户数据可　能被解释成命令，远程用户甚至可以在数　据库上执行任意命令。这种攻击具有广泛　性，如果应用程序使用特权较高的账户连　接到数据库，攻击者有可能使用应用程序　对数据库中所有数据完成操作。　＇．２　ＳＯＬ注入攻击种类　根据网站服务器与客户端数据交互情　况的不同，常见的ＳＱＬ注入式攻击种类有以　下几种方式。　（１）没有正确过滤转义字符。　在用户的输入没有为转义字符过滤　时，就会发生这种形式的注入式攻击，它会　被传递给一个ＳＱＬ语句。这样就会导致应用　程序的终端用户对数据库上的语句实施操　纵。例如下面的这行代码就会演示这种漏　洞：ｓｔａｔｅｍｅｎｔ：一　ＳＥＬＥＣＴ＋ＦＲ０Ｍ　ｕｓｅｒｓ　ＷＨＥＲＥ　ｎａｍｅ＝’”＋ｕｓｅｒＮａｍｅ＋”’；”它　的设计目的是将一个特定的用户从其用户　表中取出，但是，如果用户名被一个恶意的　用户用一种特定的方式伪造，语句所执行　的操作可能就不仅仅是代码的作者所期望　的那样了。　
（２）Ｉｎｃｏｒｒｅｃｔ　ｔｙｐｅ　ｈａｎｄｌｉｎｇ。　如果一个用户提供的字段并非一个强　类型，或者没有实施类型强制，就会发生这　种形式的攻击。当在一个ＳＱＬ语句中使用一　个数字字段时，如果程序员没有检查用户　输入的合法性（是否为数字型）就会发生这　种攻击。例如：ｓｔａｔｅｍｅｎｔ：＝”ＳＥＬＥＣＴ＋　ＦＲ０Ｍ　ｄａｔａ　ＷＨＥＲＥ　ｉｄ＝。’＋ａ　ｖａｒｉａｂｌｅ＋　”ｌ”这里，ａ—ｖａｒｉａｂｌｅ希望是一个与“ｉｄ”字段　有关的数字。　（３）数据库服务器中的漏洞。　有时，数据库服务器软件中也存在着　漏洞，如ＭＹＳＱＬ服务器中ｍｙｓｑｌ—ｒｅａｌ　ｅｓｃａｐ　ｅ　ｓｔｒｉｎｇ（）函数漏洞。这种漏洞允许一个攻　击者根据错误的统一字符编码执行一次成　功的ＳＱＬ注入式攻击。　２　ＳＯＬ注入防范措施　要防范ＳＱＬ注入攻击，需要对用户输入　的数据进行检查。检查可以在客户端进行，　但攻击者完全有可能获得网页的源代码，　修改验证合法性的脚本（或者直接删除脚　本），然后将非法内容通过修改后的表单提　交给服务器。因此，在服务器端也要执行验　证，但使用客户端验证可以减少页面往返　次数以提升性能，改进用户体验。　２．１客户端防范ＳＱｋ注入攻击　（１）约束输入，ＡＳＰ．ＮＥＴ页面中＠ｐａｇｅｓ　指令的ｖａｌｉｄａｔｅＲｅｑｕｅｓｔ元素的属性值设为Ｔ　ｒｕｅ时，可以检查从浏览器输入的所有内容　中是否存在潜在的危险数据。如果是则通　过将所有输入数据与一个潜在危险的值列　表进行比较来执行请求验证。如果发生匹　配，ＡＳＰ．ＮＥＴ将引发ＨｔｔｐＲｅｑｕｅｓｔＶａｌｉｄａｔｉｏｎ　Ｅｘｃｅｐｔｉｏｎ异常。　（２）采用内建的验证对象，对于表单中　输入控件可以采用Ｖａｌｉｄａｔｉｏｎ控件进行验证　例，当然也可以采用传统的Ｊａｖａｓｃｒｉｐｔ来编　写代码控制。但客户端的防护可以被轻易　绕过，攻击者完全有可能获得网页的源代　码，修改验证合法性的脚本，然后将非法内　容通过修改后的表单提交给服务器，因此，　要保证验证操作确实已经执行，可靠的方　法是在服务器段也执行验证。　２．２服务器端防范ＳＱＬ注入攻击　（１）由于通过客户端进行验证并不能完　全保证安全性，因此，为保证安全性，最有　效的办法是在服务器端进行验证。编程实　现服务器端数据验证，对于从上一页传递　过来的所有数据以及用户直接输入的数据　进行校验。如果传递的是数字型数据，对其　
完成类型强制转换。而如果传递的是字符　
型数据则需要使用ｒｅｐｌａｃｅ对单引号替换成　
两个单引号地方进行控制。　
（２）如果文本确实需要包含一些特殊符　
号，那么更好的解决办法是使用参数化命　
令来防止ＳＱＬ注入攻击。参数化命令是在　
ＳＱＬ文本中使用占位符的命令。占位符表示　
需要动态替换的值，它们通过Ｃｏｍｍａｎｄ对　
象的Ｐａｒａｍｅｔｅｒｓ集合来传送。　
２．３其他措施防范ＳＯＬ注入攻击　
（１）通过特定文件完成与数据库连接的，　
最好加密此文件，以防止恶意用户修改连接　
文件做到绕过认证的目的。同样加密文件也　
是一种有效的被动保护方式，即使攻击者盗　
取文件，也无法正常获得真实内容。　
（２）给一个错误信息提示页面，因为很　
多的ＳＱＬ注入攻击都是根据ＩＩＳ提供的出错　
信息来判断攻击的，所以设置ＩＩＳ服务器应　
该自行设置返回语句显示的内容，及所有　
的错误都只返回一种由程序员定义好的信　
息，让攻击者无法从中得到有价值的内容。　
（３）开发人员应该根据应用程序的不同　
需求和功能合理的进行权限配置，对数据库　
应该精确地设置每一个表的各项操作权限。　

３结语　
ＳＱＬ注入漏洞在网上极为普遍，是所有　
ｗｅｂ开发人员都需要理解和防止的东西。　
本文所述ＳＱＬ注入攻击防范方法通过在实　
际项目中的使用，能够很好进行主动防范，　
具有一定的普遍适用性。希望对开发人员　
有所借鉴。　

参考文献　
［１】程科峰．警惕ＳＱＬ注入的危险【Ｊ】．计算机　
安全，２００４（１）．　
［２］张勇，李力，薛倩．Ｗｅｂ环境下ＳＱＬ注入　
攻击的检测与防御【Ｊ】．现代电子技术，　
２００４（１５）．　
［３】蒋继娅，刘彤，王树威．Ｗｅｂ应用中的　
ＳＱＬ注入攻击与防护方案研究【Ｊ１．计算　
机安全，２００８（５）．　
【４】徐嘉铭．ＳＱＬ注入攻击原理及在数据库　
安全中的应用【Ｊ】．电脑编程技巧与维　
护，２００９（１８）．　

科技资讯ＳＣＩＥＮＣＥ＆ＴＥＣＨＮＯＬＯＧＹ　ＩＮＦＯＲＭＡＴＩＯＮ

合集下载

基于参数查询防止SQL注入攻击的方法

基于参数查询防止SQL注入攻击的方法

关 键 词 ：Ｑ Ｓ Ｌ注 入 攻 击 ； 数 查 询 ； Ｄ Ｓ Ｌ；Ｑ 参 Ａ Ｏ 中 图 分 类 号 ：Ｐ ９ ． ８ Ｔ ３ ３ ０ 文 献标 志码 ： Ａ
Ａ Ｍｅｈ ｄｔ ｅｅ ｄａ ａｎ ｔ ＱＬ ＩｊｃｉｎＡｔ ｃ ａ ｅ ｎ Ｐ ｒｍｅｅ ｅｙ ｔｏ Ｄ ｆｎ ｇ ｉｓ Ｓ ｎｅｔ ｔ ｋ Ｂ ｓｄｏ ａ ａ ｔｒＱｕ ｒ ｏ ｏ ａ
服 务 器 的 Ｗｅ ｂ应 用 程 序 中 ， 为 开 发 周 期 和 程 因
现 ， 大地 方 便 了人 们 的信 息 获 取 需 求 。与 此 同 极
时 ， 客针 对 网站 的攻 击也 屡屡 出现 ， 成 了或 多 黑 造
或 少 的经 济 损 失 。在 这 些 攻 击 中 ， Ｑ Ｓ Ｌ注 入 攻 击
串 的形 式存 在 ， ： 如
ＳＥＬＥＣＴ ｃ ｌ ｏｕｍｎ ｃ ｌ ｍ ｎ ｌ， ｏｕ ２
其中两个问号 （ ） ？ 是待定的数据列 的值。Байду номын сангаас
有些 开发 平 台 ， 问号 的地 方 可 能 用 有 指定 标 记 的 命 名参数 代替 ， ： 如
Ｓ ＣＴ ｏ ｕ ＥＩ ｃ ｌ ｍｎ１． ｏ ｕ ２ ｃ ｌ ｍｎ ＦＲＯＭ ａ ｌ １ ｔｂ ｅ Ｗ ＨＥＲＥ ｏｕ ｎｌ： ＠ ｐ ｒ ｍ ｌ ｃｌｍ ａ ａ ＡＮＤ ｏｕ ２ ＝ ｃ ｌ ｍｎ
１ Ｓ Ｌ注 入 攻 击 Ｑ
Ｓ Ｌ注 入 攻 击 源 于 英 文 “ Ｑ ｎｅｔ ｎ Ａ． Ｑ Ｓ Ｌ Ｉｊｃｉ ｔ ｏ
收 稿 日期 ： １ —１ — ７ 最 后 修 回 日期 ：０２— ２—１ ２ １ １ ０； ０ ２１ ０ ０
作 者 简 介 ： 励 丽 （９ ２一） 女 ， 宁 营 口人 ， 师 ， 隋 １７ ， 辽 讲 主要 从 事 计 算 机 应 用 技 术 研 究 。
sql注入产生原因、危害及解决方案

sql注入产生原因、危害及解决方案

sql注⼊产⽣原因、危害及解决⽅案 当我们访问动态⽹页时，Web 服务器会向数据访问层发起 Sql 查询请求，如果权限验证通过就会执⾏ Sql 语句。

这种⽹站内部直接发送的Sql请求⼀般不会有危险，但实际情况是很多时候需要结合⽤户的输⼊数据动态构造 Sql 语句。

如果⽤户输⼊的数据被构造成恶意 Sql 代码，Web 应⽤⼜未对动态构造的 Sql 语句使⽤的参数进⾏审查，则会带来意想不到的危险。

SQL注⼊攻击指的是通过构建特殊的输⼊作为参数传⼊Web应⽤程序，⽽这些输⼊⼤都是SQL语法⾥的⼀些组合，通过执⾏SQL语句进⽽执⾏攻击者所要的操作，其主要原因是程序没有细致地过滤⽤户输⼊的数据，致使⾮法数据侵⼊系统。

根据相关技术原理，SQL注⼊可以分为平台层注⼊和代码层注⼊。

前者由不安全的数据库配置或数据库平台的漏洞所致； 后者主要是由于程序员对输⼊未进⾏细致地过滤，从⽽执⾏了⾮法的数据查询。

基于此，SQL注⼊的产⽣原因通常表现在以下⼏⽅⾯： ①不当的类型处理； ②不安全的数据库配置； ③不合理的查询集处理； ④不当的错误处理； ⑤转义字符处理不合适； ⑥多个提交处理不当。

sql注⼊危害数据库信息泄漏：数据库中存放的⽤户的隐私信息的泄露。

⽹页篡改：通过操作数据库对特定⽹页进⾏篡改。

⽹站被挂马，传播恶意软件：修改数据库⼀些字段的值，嵌⼊⽹马链接，进⾏挂马攻击。

数据库被恶意操作：数据库服务器被攻击，数据库的系统管理员帐户被窜改。

服务器被远程控制，被安装后门。

经由数据库服务器提供的操作系统⽀持，让⿊客得以修改或控制操作系统。

破坏硬盘数据，瘫痪全系统。

sql注⼊解决⽅案 1.参数验证 2.特殊字符过滤 3.使⽤参数化语句，不要拼接sql 4.编码输出 5.平台过滤 总之就是要做好过滤与编码并使⽤参数化语句，这样基本能够解决sql注⼊漏洞参考：。

浅析网站数据库安全中的SQL注入及防范措施

浅析网站数据库安全中的SQL注入及防范措施

ｖｒｈ ｒ值 ［ 要］ 文 要 述 Ｏ注 方 ： 击 利 提 一 Ｑ代 ｏ ｔ ［ＤＣ ＳＬ Ｓｒｅ ｒｖｒ ［Ｑ ｅｖｒ ，将 ｎａｃａ 摘 本 主 讲 了Ｓ 入 法 攻 者 用 交 段Ｓ ｆ］ＯＢ Ｑ ｅｖｒ Ｄｉｅ］ＳＬ Ｓｒｅ］ Ｌ Ｌ
码。 返回的结 ‘ 根据 果获得 某些想 知的数 据。 后针 ＳＬ 最 对 Ｑ 注入方式 提出的 一些防 ’ｍ ’转换为数据类型为 ｉｔ的列时发生语法错误。／ｘｓ／ ｂｂＳＬｅｖｒ平台来开发，开发者 名为 ａｍｎ 想知道管理员密码， Ｓ＋ＱＳ ｒｅ ｄｉ ， 他可再提交 ｈｔ ：／ ｔ ｐ／ …… （ 上述语 ｎ Ｓｌｃ ｓｗｒ ｍｌｇｎ ｅｅ ｅ＿ ａｅ’ｄ ｉ’ ｐ ｒ ｗ ｕ 往往忽略 对用户 输入数 据的合法性判断而很容易存在安 全隐患。当 句） ａｄ（ｅｅｔ ａｓｏｄｆｏ ｏｉ ｈｒ ｓｒ ｎｍ ＝ａｍｎ） 用户提交一段 ＳＬ 询代码， Ｑ查 根据返回的 结果可获 得某些他想 ＞。出错信息为：Ｍｃｏｏ ｔＯＥＤ ｒｖｄｒ ｆｒＯ Ｂ ｒｖｒ 得知 ０ ｉｒ ｓｆ Ｌ ＢＰｏ ｉｅ ｏ ＤＣＤ ｉｅ ｓ 的 数据。 这就是 ＳＬ 入。攻击者常利 Ｑ注 用这种技术，达到取得隐 藏 （ｘ０４Ｅ？ ［ｉｒｓｆ］０Ｂ ＬＳｒｅ ｉｅ ］ＳＬ ｅｖｒ ， Ｏ８００Ｏ）Ｍｃｏｏｔ ［Ｄｃ Ｑ ｅｖｒ ｒｖｒ ［ ｒｅ］ Ｓ Ｄ ＱＳ
价了反而增收，这是必然的吗？ 要了 解其中奥 秘， 除了需要学习经 学问题是直接检查学生数学思维品 质高 低的一个重要手段。 但目 济学中的有关知识，还需学习 前 一元函 数微分学，以 此激发学生的思 学生这方面的能力还较为薄弱，因此，在辅导中，～方面要引导学 维和求知欲。 生在学习中重视数学概念，另一方面要帮助学生理解、掌握数学概 （ 二）对数学问题多作假设，引发思考，增强想象力。给一个 念的内涵和外延，懂得灵活运用的方法。 问题多问几个为什么，多添上几个问号，就会给学生心理上造成悬 《 经济数学》内 容较多， 学生 学习时问不足，对数学概念理解 念，以激发学生思维，拓展求知范围。 不透，基本训练欠缺，学生学习时囫囵吞枣，消化不良，脑海中的 （ 三）一题多解，开阔学生思路。数学上的～题多解就是通过 数学信息从发散过程到收敛过程这两种思维的配 合不够 默契。影响 综合运用所学知识，从不同角度对同一问题寻求多种解题方法与途 了综合运用数学知识能力的提高，更不能适应对一些综合性数学题 径，然后再进行分析、综合、比较，从中找出最优方法。 目的求解。 （ 四）一式多变，活跃学生思维。对一些式子，要善于运用已 例５ ：已知 ｆ（ ）为连续函数，且 ｆ（）＝，求： ｘ Ｏ １ 掌握的知识，对式子作适当变换，推出新的数学公式去解决新的数 学问题，从而使学生既钻研教材，又不死读教材，生动活泼地探求 Ｉ（＋ ｘ ｎ１ ｌ ｉ ａ ｒ ） ）ｆ（ｄ ｆｔｔ 。 — 新的知识点 （ 整理、 五） 概括数学问 题， 培养概括能力。 对教学过 程进行 分析：本题将极限知识和积分知识综合于一体来考核学生的综 回顾与归纳，对有关资料进行整理，对众说纷纭的问题进行高度概 合解题能力，不少学生无从下手。其实，如果把这道题目分为两道 括、 理线抓点。 这是一种收敛思 维形式在数学中的应用。 小 ：ｉ 上 Ｉ ＋） 题 ｒ ｎ 和 ｌ ａ ０ （ １ ｆｆ ｔ ｄ （ ｔ ）。 （ 六）分析精选例题，启发学生思维。通过讲解一个有代表性 也许学生能解出这两道题的结果， 两个结果的值的积便是原极 的典型例题，类推出其它许多相关的数学问题的解法，使教与学的 过程成为由此及彼，由表及里的认识过程，有效地训练学生思维能 限所求结果。 学生由于基础差，见到文字叙述较长或综合性的题目 ，望而生 力；同时，通过例子解析定义和原理，使抽象的数学概念、原理具 畏，不知所措。遇到这种情况， 教师要懂得引导 学生，无论做 体化，启发学生思维，从而得心应手地探索更多更新的数学知识。 什么 通过认清学生思维的障碍，不断创新教学方法和手段，采取有 样的题 目，首先要树立信心，然后不妨大胆动手拆拆、合合、 试试， 不要总是冥思苦想而不动手，要做到 “ 脑、 眼、 手”齐 动，才能 把 效的对策，一定有利于学生更好地学习、掌握和运用数学知识解决 数学问题；有利于拓展学生思维和开阔学生视野，提高学生综合解 运算、分 析、综 合数学 知识的 思维能力发 挥出 来。
sql 注入 常用命令

sql 注入 常用命令

sql 注入常用命令SQL注入是一种常见的网络安全漏洞，攻击者通过在用户输入的数据中插入恶意的SQL代码，从而使数据库执行非预期的操作。

在本文中，我们将介绍一些常用的SQL注入命令，以及如何防止和应对这些攻击。

1. UNION注入UNION注入是一种常见的SQL注入攻击方式，攻击者通过在SQL 查询中使用UNION关键字，将恶意查询的结果与原始查询结果合并，从而获取额外的信息。

例如，攻击者可以使用以下命令获取用户表中的所有用户名和密码：```SELECT username, password FROM users UNION SELECT NULL, NULL FROM information_schema.tables;```防御方法：对用户输入进行严格的验证和过滤，使用参数化查询或预编译语句。

2. SELECT注入SELECT注入是一种利用用户输入的恶意SQL代码来修改查询结果的注入方式。

攻击者可以通过在WHERE子句中插入额外的条件来绕过身份验证或获取敏感信息。

例如，攻击者可以使用以下命令绕过登录验证：```SELECT * FROM users WHERE username='' OR '1'='1' AND password='' OR '1'='1';```防御方法：使用参数化查询或预编译语句，对用户输入进行严格的验证和过滤。

3. INSERT注入INSERT注入是一种利用恶意SQL代码插入额外数据的注入方式。

攻击者可以通过在INSERT语句中插入恶意SQL代码来执行任意的数据库操作。

例如，攻击者可以使用以下命令在用户表中插入一条管理员账号：```INSERT INTO users (username, password) VALUES ('admin', 'password'); SELECT * FROM users WHERE 1=1;```防御方法：使用参数化查询或预编译语句，对用户输入进行严格的验证和过滤。