一、SQL 注入简介

SQL 注入是比较常见的网络攻击方式之一，它不是利用操作系统的 BUG 来实现攻击，而是针对程序员编程时的疏忽，通过 SQL 语句，实现无帐号登录，甚至篡改数据库。

二、SQL 注入攻击的总体思路

寻找到 SQL 注入的位置
判断服务器类型和后台数据库类型
针对不通的服务器和数据库特点进行 SQL 注入攻击

三、SQL 注入攻击实例

比如在一个登录界面，要求输入用户名和密码：
可以这样输入实现免帐号登录：
用户名： ‘or 1 = 1 ––
密码：
点击登录，如果没有做特殊处理，那么这个非法用户就会很容易的登录成功。(当然现在的有些语言的数据库 API 已经处理了这些问题)

这是为什么呢？

从理论上说，后台认证程序中会有如下的 SQL 语句：

String sql = "select * from user_table where username=
' "+userName+" ' and password=' "+password+" '";

当输入了上面的用户名和密码，上面的 SQL 语句变成：

select * from user_table where username=
'’or 1 = 1 -- and password='’

分析 SQL 语句：
条件后面 username=”or 1=1 用户名等于 ” 或1=1 那么这个条件一定会成功；然后后面加两个-，这意味着注释，它将后面的语句注释，让它们不起作用，这样语句永远都能正确执行，用户轻易骗过系统，获取合法身份。这还是比较温柔的，如果是执行如下：

select * from user_table where
username=’’;DROP DATABASE (DB Name) --’ and password=’’

其后果可想而知。

四、应对方法

针对 JSP，应对方法如下：

1.（简单又有效的方法）PreparedStatement

采用预编译语句集，它内置了处理 SQL 注入的能力，只要使用它的 setXXX 方法传值即可。

使用好处：
(1) 代码的可读性和可维护性；
(2) PreparedStatement 尽最大可能提高性能；
(3) 最重要的一点是极大地提高了安全性。

原理：
sql 注入只对 sql 语句的准备(编译)过程有破坏作用。而 PreparedStatement 已经准备好了，执行阶段只是把输入串作为数据处理，而不再对 sql 语句进行解析、准备，因此也就避免了 sql 注入问题。

2.使用正则表达式过滤传入的参数

要引入的包：
import java.util.regex.*;

正则表达式：

private String CHECKSQL = “^(.+)\sand\s(.+)|(.+)\sor(.+)\s$”;

判断是否匹配：Pattern.matches(CHECKSQL,targerStr);

下面是具体的正则表达式：

--检测SQL meta-characters的正则表达式：
/(%27)|(’)|(–)|(%23)|(#)/ix--修正检测SQL meta-characters的正则表达式：
/((%3D)|(=))[^ ]*((%27)|(’)|(–)|(%3B)|(:))/i--典型的SQL 注入攻击的正则表达式：
/w*((%27)|(’))((%6F)|o|(%4F))((%72)|r|(%52))/ix--检测SQL注入，UNION查询关键字的正则表达式：
/((%27)|(’))union/ix(%27)|(’)--检测MS SQL Server SQL注入攻击的正则表达式：
/exec(s|+)+(s|x)pw+/ix

等等。

3.字符串过滤

比较通用的一个方法：
（||之间的参数可以根据自己程序的需要添加）

public static boolean sql_inj(String str){String inj_str = "’|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+|,";String inj_stra[] = split(inj_str,"|");for (int i=0 ; i < inj_stra.length ; i++ ){if (str.indexOf(inj_stra[i])>=0){return true;}}return false;
}

4.jsp 中调用该函数检查是否包函非法字符

防止 SQL 从 URL 注入：

sql_inj.java代码：

import [java.net](http://java.net/).*;
import [java.io](http://java.io/).*;
import java.sql.*;
import java.text.*;
import java.lang.String;public class sql_inj{public static boolean sql_inj(String str){String inj_str = "’|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+|,";//这里的东西还可以自己添加String[] inj_stra=inj_str.split("|");for (int i=0 ; i < inj_stra.length ; i++ ){if (str.indexOf(inj_stra[i])>=0){return true;}}return false;}
}

5.JSP 页面判断代码：

使用 javascript 在客户端进行不安全字符屏蔽

功能介绍：检查是否含有”‘”,”\”,”/”

参数说明：要检查的字符串

返回值：0：是1：不是

函数名是

function check(a){return 1;fibdn = new Array (”‘” ,”\”,”/”);i=fibdn.length;j=a.length;for (ii=0; ii＜i; ii++){ for (jj=0; jj＜j; jj++){ temp1=a.charAt(jj);temp2=fibdn[ii];if (tem’; p1==temp2){ return 0; }}}return 1;
}

总的说来，防范一般的 SQL 注入只要在代码规范上下点功夫就可以了。凡涉及到执行的 SQL 中有变量时，用JDBC(或者其他数据持久层)提供的如：PreparedStatement 就可以，切记不要用拼接字符串的方法就可以了。

五、降低注入攻击的危害

把应用服务器的数据库权限降至最低，尽可能地减少 SQL 注入攻击带来的危害
避免网站打印出 SQL 错误信息，比如类型错误、字段不匹配等，把代码里的 SQL 语句暴露出来，以防止攻击者利用这些错误信息进行 SQL 注入。
对进入数据库的特殊字符(’"\尖括号&*;等)进行转义处理，或编码转换。
所有的查询语句建议使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到 SQL 语句中，即不要直接拼接 SQL 语句。
在测试阶段，建议使用专门的 SQL 注入检测工具进行检测。网上有很多这方面的开源工具，例如 sqlmap、SQLninja 等。
善用数据库操作库，有些库包可能已经做好了相关的防护，只需阅读其文档，看是否支持相应的功能即可。

SQL 注入攻击的防范相关推荐

SQL注入攻击及其防范检测技术研究
2008-12-18 来自:51CTO 作者:陈小兵本文简要介绍了SQL注入攻击的原理,SQL注入攻击实现过程,并在此基础上给出了一种SQL注入攻击的自动防范模型. 1 SQL注入攻击概述 1 ...
SQL注入攻击及防范
一．什么是SQL注入 1．SQL注入的定义 SQL注入(SQL Injection) 利用了程序中的SQL的漏洞,进行攻击的方法. 2．SQL注入举例 1)利用SQL语法错误获取数据库表 ...
自学渗透测试：使用 DVWA 和 SQLmap 探寻 SQL 注入攻击与防范
数据来源本文仅用于信息安全学习,请遵守相关法律法规,严禁用于非法途径.若观众因此作出任何危害网络安全的行为,后果自负,与本人无关. 01 耳熟能详的SQ注入是什么? 关于SQL注入漏洞,维基 ...
数据库 -- SQL注入攻击
SQL注入攻击_百度百科概念 SQL注入攻击是黑客对数据库进行攻击的常用手段之一.随着B/S模式应用开发的发展,使用这种模式编写应用程序的程序员也越来越多.但是由于程序员的水平及经验也参差不齐,相当 ...
SQL注入攻击的种类和防范手段
观察近来的一些安全事件及其后果,安全专家们已经得到一个结论,这些威胁主要是通过SQL注入造成的.虽然前面有许多文章讨论了SQL注入,但今天所讨论的内容也许可帮助你检查自己的服务器,并采取相应防范措施. ...
SQL注入攻击的种类和防范方法
观察近来的一些安全事件及其后果,安全专家们已经得到一个结论,这些威胁主要是通过SQL注入造成的.虽然有许多文章讨论了SQL注入,但今天所讨论的内容也许可帮助你检查自己的服务器,并采取相应防范措施. 知 ...
sql注入攻击的原理（sql注入攻击防范）
SQL 注入(SQLi)是一种可执行恶意 SQL 语句的注入攻击.这些 SQL 语句可控制网站背后的数据库服务.攻击者可利用 SQL 漏洞绕过网站已有的安全措施.他们可绕过网站的身份认证和授权并访问整 ...
SQL Server安全-加密术和SQL注入攻击
SQL Server上的加密术 SQL Server上内置了加密术用来保护各种类型的敏感数据.在很多时候,这个加密术对于你来说是完全透明的:当数据被存储时候被加密,它们被使用的时候就会自动加密.在其他 ...
防止sql注入攻击的方法总结
SQL注入是一种利用未过滤/未审核用户输入的攻击方法("缓存溢出"和这个不同),意思就是让应用运行本不应该运行的SQL代码.通过把SQL命令插入到Web表单递交或输入域名或页面请求 ...

SQL 注入攻击的防范