Java代码审计篇：SQL注入

zkzq

已于 2023-12-01 15:04:55 修改

阅读量1.4k

点赞数 8

CC 4.0 BY-SA版权

文章标签：数据库

于 2023-12-01 11:28:55 首次发布

本文链接：https://blog.youkuaiyun.com/hackzkaq/article/details/134730490

本文探讨了Java中常见的SQL注入漏洞，包括动态拼接、预编译错误、order by注入、模糊查询等问题，并提供了防范方法。强调了预编译处理的重要性，以及在遇到order by等特殊场景时如何手动过滤参数。同时，提到了MyBatis中的SQL注入风险，如like查询和in参数的安全处理。文章最后讨论了SQL注入的修复策略和安全学习资源。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一、常见SQL注入
1、sql语句动态拼接
示例代码：

String id=request.getParameter("id");
res = st.executeQuery("SELECT * FROM \"IWEBSEC\".\"user\" WHERE \"id\"="+id);
while(res.next()){
int p = res.getInt("id");
String n = res.getString("username");
String s = res.getString("password");
}

上述代码通过request.getParameter方法获取id值，通过 SELECT * FROM \”IWEBSEC\”.\”user\” WHERE \”id\”=”+id 进行了sql语句的动态拼接。通过executeQuerry执行sql语句，会发现id的参数是可控的并且可以进行sql语句的拼接。
2、预编译错误
示例代码：

`String username="user%' or '1'='1'#";
String id ="2";
String sql = "SELECT * FROM user where id = ?";
if (!CommonUtils.isEmptyStr(username))
sql += " and username like '%" + username + "%'";
System.out.println(sql);
PreparedStatement preparedStatement = conn.prepareStatement(sql);
preparedStatement.setString(1, id);
rs = preparedStatement.executeQuery();`

上述代码虽然使用了preparestatement预编译，但是在后面的username使用了sql语句拼接的方式，这样会导致sql注入。