安全网站策略之_SQL注入的防范

最新推荐文章于 2025-04-23 13:01:29 发布

原创最新推荐文章于 2025-04-23 13:01:29 发布 · 162 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #sql注入 #web站点安全

网络安全专栏收录该内容

3 篇文章

订阅专栏

本文深入探讨了SQL注入的概念、常见场景及其潜在后果，详细介绍了如何通过使用参数化语句和数据库引擎提供的函数来预防SQL注入攻击，并强调了避免直接输出系统错误信息和严格权限管理的重要性。

[b]一，问题概述[/b]

某些web站点，会直接使用用户输入的字符串来作为SQL文的一部分。这就会产生SQL注入的风险。

[b]二，举例说明 [/b] 1、PHP + PostgreSQL

$query = "SELECT * FROM usr WHERE uid = '$uid' AND pass = '$passh';
$result = pg_query($conn, $query);

场景：这是容易被理解的SQL注入发生的场景，使用用户输入的用户名和密码来验证该用户是否可以login。

恶意输入模式：
uid:taro'--
pass:任意值
分析：这样一来，验证用的SQL就变成以下SQL文：

SELECT * FROM usr WHERE uid = 'taro'--' AND pass ='eefd5bc2...'

2、Perl+DBI

$query = "SELECT * FROM usr WHERE uid = '$uid' AND pass = '$passh'";
$sth =$dbh->prepare($query);
$sth->execute();

场景：同上

恶意输入模式：
uid:taro'--
pass:任意值
分析：从代码上看，已经使用了预处理方法对SQL进行了预处理。但是由于SQL文中包含变量，导致预处理不能进行。因此还是会导致SQL注入风险。

[b]三，可能的后果[/b]
1、非公开信息的泄露
2、数据库中保存信息的被恶意篡改，删除。
3、绕开认证的login
4、恶意者可能会利用该漏洞使用存储过程来运行恶意的os command。

[b]四，可能被攻击网站的特征[/b]
1、所有用到数据库的web站点

[b]五，如何解决[/b]

[b]彻底解决方案[/b]
1-1、使用Placeholder来产生SQL语句。即preparedstatement。
1-2、无法使用preparedstatement的场合，尽量使用数据库引擎提供的escape函数来过滤用户字符串。
2、不要使用用户输入的参数组成SQL文

[b]改善方案[/b]
1、不要将系统产生的错误消息直接输出到最终用户的浏览器。
2、数据库账号严格实行最小权限赋予原则

[color=red]更容易阅读的版本，见附件。[/color]