SQL语句:简述对SQL注入的认识

SQL语句:简述对SQL注入攻击的认识


一、SQL 注入攻击介绍

     官方的说法为:所谓SQL注入,就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。即把恶意的 Sql 语句插入到输入参数中,然后通过在后台 Sql 服务器上解析-执行进行的攻击,它目前黑客对数据库进行攻击的最常用手段之一。

     通俗点说,一般我们提交的表单数据(未经过滤的情况下)都会拼接到 SQL 查询语句中的,就例如:

/*
 *用户数据表
 */
drop table if exists table_user;
create table table_user
(
   user_pk          bigint not null auto_increment,

   user_accountnumber   varchar(30),
   user_password        varchar(30),

   primary key (user_pk)
);
insert into table_user(user_accountnumber,user_password) value("root","1234556");
select user_accountnumber,user_password from table_user where user_accountnumber='root';

     其中 name 参数 root 就是从表单中传过来的数据,如果传的参数不是 root,而是一条 SQL 语句,那么就可能骗过了 SQL 数据库,从而执行了一段恶意的代码,达到了我们(程序员)意料之外的结果。

二、SQL 注入攻击方式

     1.正确查询-查询账号为root,密码为123456的用户信息【传入参数root,123456】

select user_accountnumber,user_password from table_user where user_accountnumber='root' and user_password='123456';

     查询结果如下:
在这里插入图片描述
     2.错误查询-查询账号为root’#,密码为123456的用户信息【传入参数root’#,123456】

select user_accountnumber,user_password from table_user where user_accountnumber='root'#' and user_password='123456';

     查询结果如下:
在这里插入图片描述
     3.错误查询-查询账号为root’#,密码为123456的用户信息【传入参数root’-- ,123456】,–后有空格

select user_accountnumber,user_password from table_user where user_accountnumber='root'-- ' and user_password='123456';

     查询结果如下:
在这里插入图片描述
     从查询2和3的结果来看,不符合我们预期的结果。这是因为 SQL 语句中有两种注释,一种是: # ,另一种是:-- ,这两条查询语句正式利用了这个,导致 SQL 认为后面的语句是注释。从而,不管你输入的密码是否正确,都可以登录。

     当然,SQL 注入攻击不止这些,上文只是列举了列举了两种。更多的注入方式,可以自行到网络上搜索。

三、SQL 注入攻击预防

  1. 把应用服务器的数据库权限降至最低,尽可能地减少 SQL 注入攻击带来的危害。
  2. 避免网站打印出SQL错误信息,比如类型错误、字段不匹配等,把代码里的SQL语句暴露出来,以防止攻击者利用这些错误信息进行SQL注入。
  3. 对进入数据库的特殊字符(’"\尖括号&*;等)进行转义处理,或编码转换。
  4. 所有的查询语句建议使用数据库提供的参数化查询接口,参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中,即不要直接拼接SQL语句。
  5. 在测试阶段,建议使用专门的 SQL 注入检测工具进行检测。网上有很多这方面的开源工具,例如sqlmap、SQLninja等。
  6. 善用数据库操作库,有些库包可能已经做好了相关的防护,我们只需阅读其文档,看是否支持相应的功能即可。

参考:

  1. https://mp.weixin.qq.com/s/wCssEL1BjWkw5aQxeLbv6g
©️2020 CSDN 皮肤主题: Age of Ai 设计师:meimeiellie 返回首页