Java审计之SQL注入篇-阿里云开发者社区

0x00 前言

本篇文章作为Java Web 审计的一个入门文，也是我的第一篇审计文，后面打算更新一个小系列，来记录一下我的审计学习的成长。

0x01 JDBC 注入分析

在Java里面常见的数据库连接方式也就那么几个，分别是JDBC，Mybatis，和Hibernate。

注入常见场景分析

JDBC的连接是比较繁琐的，并且是最原始的连接方式，我们来看看JDBC的最原始的连接代码

Get型注入：

@WebServlet("/demo")
public class domain extends HttpServlet {
  @Override
  protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
      System.out.println("get访问");
      String id = req.getParameter("id");
      Connection conn = null;
      try {
          Class.forName("com.mysql.jdbc.Driver");
          conn = DriverManager.getConnection("jdbc:mysql://127.0.0.1:3306/demo", "root", "root");
          String sql = "select * from users where id = '"+id+"' ";
          Statement statement = conn.createStatement();
          ResultSet resultSet = statement.executeQuery(sql);
      } catch (ClassNotFoundException | SQLException e) {
          e.printStackTrace();
      }
  }
  @Override
  protected void doPost(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
      this.doGet(req,resp);
  }
}

这里编写了一个serlvet获取get的值，连接数据库使用了jdbc的方式进行连接，采用了拼接的方式直接拼接到了sql语句里面去。这样的代码如果在传入前没做过滤直接拼接，就会产生sql注入。

在实际运用当中如果不采用框架使用JDBC的方式，普遍会编写一个工具类来完成这些繁琐的配置，但是具体的实现还是调用这些方法来进行实现，只是进行了一个简单的封装。

在代码审计的时候，如果看到是JDBC的方式进行连接可以跟踪一下他的代码，看他有没有调用自己定义的过滤方法，如果没有的话，就会存在sql注入，当然这是在未使用预编译的情况下。

后面的重复的比较多，都是大致相同，我后面就贴出一些主要的代码进行分析。

POST型注入：

String sql = "select * from users where username = '"+username+"' and password = '"+password+"' ";

GET的注入和POST的其实差不多，只是获取值的地方不一样。

Like型注入：

String name = req.getParameter("name");

String sql = "select * from users where name like '%'+name+'%'";

Header注入：

String referer = req.getHeader("referer");

String sql = "update user set referer ='"+referer+"'";

以上列了几种方式都是JDBC采用拼接的方式造成SQL注入的代码。

JDBC 预编译

预编译的定义其实就是使用问号先来占位，后面再传入具体的值。后面传值的时候，程序会把传入的参数，自动转换为spring类型的字符，并不会拼接成sql语句生效。

Connection conn = JDBCUtils.getConnection();

String sql = "select * from users where username = ? and password = ?";

PreparedStatement pstmt = conn.prepareStatement(sql); //使用预编译传入sql语句

pstmt.setString(1,username); //设置第一个参数为username

pstmt.setString(2,password); //设置第二个参数为password

pstmt.executeQuery();

0x02 Mybatis 注入分析

Mybatis获取值的方式有两种，分别是${} 和 #{}。

#{}:解析的是占位符问号，可以防止SQL注入，使用了预编译。

${}:直接获取值

在Mybatis里面一般会采用#{}来进行取值，但是也会有特殊情况。

like注入：

我们这里还是以代码做演示

select id="findlike" resultType="com.test.domain.User" parameterType="string">

select * from user where name like '%#{name}%'，

</select>

我们在运行的时候会发现，代码直接就会抛出异常。

正确代码：

select id="findlike" resultType="com.test.domain.User" parameterType="string">
      select * from user where name like   '%${name}%'，
  </select>

需要使用${}的方式进行取值。

或者是

<select id="findlike" resultType="com.test.domain.User" parameterType="string">
        select * from user where name like  #{name}
    </select>

测试类：

public void findlike(){
        List<User> ming = userDao.findlike("'%'+xiao+'%'");
        for (User user1 : ming) {
            System.out.println(user1);
        }
    }