简单讲讲SQL注入原理防御
简单讲讲SQL注入
代码注入是针对Web应用程序的主流攻击技术之一,在OWASP公布的TOP10(十大安全漏洞列表)名列前茅,所以SQL注入漏洞是不容小觑的,要深入了解其原理及防御手段。
在榜单中,A1注入injection:将不信任的数据作为命令或查询的一部分发生到解析器时,会产生诸如SQL注入、NoSQL注入、OS注入和LDAP注入的注入缺陷。攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预期命令或访问数据,从而攻击者达到他的攻击目的,使数据库执行某个命令或者是得到他想要的数据。
代码注入根据攻击的目标的不同又分为:
恶意读取、修改和操作数据库的SQL注入攻击。
在web服务端安装、执行webshell等恶意脚本的PHP注入或ASP注入攻击:
- 典型的就是一句话木马,将<?php @eval($_POST['hack']) ?>上传到服务器后台,然后利用蚁剑或者菜刀即可连接进入服务器后台了。
在web服务端恶意执行操作系统命令的shell注入攻击。
其他多种多样的注入攻击,如LDAP注入、邮件命令注入、空字节注入、SSI注入、XPath注入、XML注入、XQuery注入等。
危害:注入可以导致数据丢失或被破坏,缺乏可审计性或拒绝服务;注入漏洞有时甚至可导致完全接管主机。就例如攻击者利用普通用户身份进入到后台,进行提权拿到最高权限,那么这时攻击者就是该主机的“管理者”,能做任意他想做的事情。
简单讲讲SQL注入攻击的原理:
SQL注入是利用web应用程序数据层输入验证不完善的安全漏洞实施的一种代码注入攻击,是由于用户输入的恶意内容网页没能正确地过滤消除SQL语言中的字符串转义字符,如单引号、双引号、反引号、分号、圆括号、百分号、注释符等等,由于目前大部分的web应用程序都依赖于后台数据库中的内容,根据web应用程序用户输入的内容生成SQL查询和操作语句,来获取和更新后台数据库中的内容,就简单拿“万能密码”来说,攻击者在登录界面输入用户名:admin’ or ‘1’='1, 口令随便输入,如果web应用程序或者后台没有对用户输入的内容进行检查的话,攻击者即使不知道口令,一样能以admin的身份登录系统。
所以网页永远不要相信用户输入的内容,尽可能的将每个用户输入的内容都当初攻击者输入的内容来检查,这样才能更好保证数据库的安全,保证数据不泄露出去。
简单讲讲SQL注入步骤:
1.发现SQL注入点
2.判断后台数据库类型
3.后台数据库中管理员用户口令字猜解
4.上传ASP后门或PHP后门,得到默认账户权限
5.本地权限提升
6.利用数据库扩展存储过程执行shell命令
简单讲讲SQL注入攻击的防御手段:
我们要清楚的知道,常见的SQL注入攻击都是因为web程序没有对用户输入的内容进行严格的检查过滤造成的,所以对SQL注入攻击的防范措施主要依靠对用户输入的特殊符号进行严格的验证机制,对输入的参数类型和长度严格检查和限制。
具体来说分为以下几点:
1.使用类型安全(type-safe)的参数编码机制
在web程序中利用用户输入参数来构造动态SQL语句时,应特别注意参数的类型安全,使用能够确保类型安全的参数编码机制。
2.对所有来自外部的用户输入,都当成攻击者的输入来检查
对输入的内容严格以“限制、拒绝、净化”的流程进行完备检查,例如整数型参数限制包含非数字符号,字符类型参数限制包含引号、括号、分号和百分号等SQL语句相关的符号。
3.将动态SQL语句替换为存储过程、预编译SQL或ADO命令对象
如题,也没什么再深入说的。
4.加强SQL数据库服务器的配置与连接
如避免将敏感信息以明文的方式存放在数据库中;以最小权限原则配置web程序连接数据库的查询操作权限。
简单讲讲SQL注入原理防御相关推荐
- 简单的SQL注入原理
小白学了一点简单的SQL注入,做了点笔记,感觉挺详细,希望能帮助到学习的伙伴.大佬勿喷,有不足多多的指教. 实验原理 SQL注入攻击是通过将恶意的SQL查询或添加语句插入到应用的输入参数中,再在后台S ...
- mysql 绕过select报错_Web安全之SQL注入(原理,绕过,防御)
首先了解下Mysql表结构 mysql内置的information_schema数据库中有三个表非常重要 1 schemata:表里包含所有数据库的名字 2 tables:表里包含所有数据库的所有的表 ...
- SQL注入原理与防御姿势(问答方式 描述)
SQL注入原理? 通过把SQL命令插入到Web表单提交或者输入域名或者页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令 SQL注入危害? 数据库层面 非法读取.篡改.添加.删除数据库中数据 ...
- SQL注入原理及其简单演示
一 . SQL注入: SQL injection:通过把SQL命令插入到web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器恶意执行的SQL命令.具体来说就是利用现有的程序将Sql命令 ...
- SQL注入原理及过程简单介绍
1.产生SQL注入原因 开发代码的时候没有全面考虑到网络安全性,特别是在用户交互时,没有考虑到用户提交的信息中可能破坏数据库,没有对输入的数据进行合法的过滤.SQL 注入过程目的性是非常 ...
- SQL注入原理、过程、防御方案、RASP概念
一.sql注入原理 SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严,攻击者可以在web应用程序中事先定义好的语句上添加额外的SQL语句,在管理员不知情的情况下实现非法操作,以此 ...
- SQL注入原理与解决方法
一.什么是sql注入? 1.什么是sql注入呢? 所谓SQL注入,就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令,比如先前的很多影视网 ...
- Java程序员从笨鸟到菜鸟之(一百)sql注入攻击详解(一)sql注入原理详解
前段时间,在很多博客和微博中暴漏出了12306铁道部网站的一些漏洞,作为这么大的一个项目,要说有漏洞也不是没可能,但其漏洞确是一些菜鸟级程序员才会犯的错误.其实sql注入漏洞就是一个.作为一个菜鸟小程 ...
- JDBC防止SQL注入原理
一.基本解釋 1.JDBC(Java DataBase Connection):它是Java用来执行Sql的Java Api:可以为多种关系型数据库提供统一的访问接口,他是一组Java编写的类和接口. ...
- SQL注入原理及预防SQL注入的方法
网络安全成为了现在互联网的焦点,这也恰恰触动了每一位用户的神经,担心网上的信息以及个人隐私遭到泄露.下面要为大家介绍的是SQL注入,对于sql注入,相信程序员都知道或者使用过,如果没有了解或完全没有听 ...
最新文章
- 【ubuntu工具】bless:二进制查看工具,类似win下的UltraEdit
- Session Sticky
- java流的传递方式是_如何在方法中流式传输Java List(Varargs)的值?
- Js 枚举定义Layer Icon
- 数据结构之线性表(附代码)
- LeetCode篇之链表:83(去重问题)
- mac php配置和扩展,mac 下安装php 以及 配置扩展!!!!!
- [转载经验] 探亲签证申请
- Newtonsoft.Json序列化和反序列之javascriptConvert.SerializeObject,DeserializeObject,JsonWriter,JsonReader...
- 说说百度iOS人脸识别的痛
- 宏观视角看抖音全生态
- 基于Proteus的51单片机仿真
- windows10共享移动热点(或说 电脑开WIFI),让手机连接共享的移动热点WIFI
- 我的阅读习惯 俞敏洪
- 王阳明心学主要讲了什么
- Mac键盘修改F1-F12为功能键,神器karabiner-elements
- android 设置单边框,Android设置单边圆角边框
- HTML期末作业课程设计期末大作业——电影网页制作
- 政策红利:广州政府发布政务区块链工作方案|链塔智库
- appium python自动测试 百度网盘_S35 移动App Appium自动化测试教程Appium+Python 百度云...