Web安全浅谈

最新推荐文章于 2020-11-26 09:04:19 发布

KenshinCui

最新推荐文章于 2020-11-26 09:04:19 发布

阅读量3.4k

点赞数

CC 4.0 BY-SA版权

分类专栏： Web Develop 文章标签： web sql 加密 object 数据库 user

本文链接：https://blog.youkuaiyun.com/kenshincui/article/details/5517259

本文探讨了Web安全中的重要问题——SQL注入，详细解释了SQL注入的原理、危害及常见方式，并提供了预防措施，如使用参数化查询、加密敏感信息以及确保数据安全传输。此外，还提到了输入验证和专业软件检测在提升Web应用安全性中的作用。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

虽然我在现实中还没有碰到过自己开发的东西出现安全漏洞，但是作为一名开发者我深知web安全的重要性。今天在这里就一块分享一下自己的一点体会。这里会提到几个方面，但是是以SQL Injection为主。

问题一：防止SQL注入 （也是主要的安全漏洞之一）

1.1如何防止SQL注入：
其实早就想谈谈这方面的问题了，作为一个开发者如果不注意这方面的问题我想不能算一个合格的开发者。
今天看到一个同学在写SQL 注入的新技术，让我又重新想起了写这方面文章事情。
引起SQL注入的原因比较多，但是主要有以下三点：
    1>连接字符串组合SQL指令。
    2>开发的数据库权限过大。
    3>未对输入进行检测和限制。
1.2SQL注入的方式：
    1>利用“；”添加多条命令
    2>利用参数的单引号特性
    3>利用注释--或/**/
1.3看一个sql注入的Sample

假设我们有一个登录页面，登录的时候输入用户名（tbUserName）和密码：（tbUserPwd），如果我们在验证的时候用：select * from [User]where UserName='"+tbUserName.Text+"' and UserPwd='"+tbUserPwd.Text+"'的方式进行验证，也就是我们
通过连接字符串构造sql语句，然后我们通过判读得到的记录，例如得到的是一个DataTable，我们就可以通过
DataTable.Row.Count>0然后登录成功。

using System; using System.Collections.Generic; using System.Linq; using System.Web; using System.Web.UI; using System.Web.UI.WebControls; using System.Data; using Cmj.MyData; namespace SQLInjection { public partial class Login : System.Web.UI.Page { protected void Page_Load(object sender, EventArgs e) { } DBHelper helper = new DBHelper(); protected void btnLogin_Click(object sender, EventArgs e) { //未防止sql注入 string sql = "select * from [User] where UserName='" + tbUserName.Text + "' and UserPwd='" + tbUserPwd.Text + "'"; DataTable dt = helper.GetDataTable(CommandType.Text, sql); if (dt.Rows.Count > 0) { Session["isLogin"] = true;