AI 助理
备案控制台
开发者社区 数据库 文章 正文

SQL注入防御与绕过的几种姿势

2017-08-01 2874
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
本文涉及的产品
云数据库 RDS MySQL，集群系列 2核4GB
推荐场景：
搭建个人博客
RDS MySQL Serverless 基础系列，0.5-2RCU 50GB
推荐场景：
学生管理系统数据库设计 搭建个人博客
云数据库 RDS MySQL，高可用系列 2核4GB
简介：

前言

本文章主要以后端PHP和MySQL数据库为例，参考了多篇文章后的集合性文章，欢迎大家提出个人见解，互促成长。

SQL注入

一、 PHP几种防御姿势

1. 关闭错误提示

说明：

PHP配置文件php.ini中的display_errors=Off，这样就关闭了错误提示。

2. 魔术引号

说明：

当php.ini里的magic_quotes_gpc=On时。提交的变量中所有的单引号(')、双引号(")、反斜线(\)与 NUL(NULL 字符)会自动转为含有反斜线的转义字符。

魔术引号(Magic Quote)是一个自动将进入 PHP 脚本的数据进行转义的过程。(对所有的 GET、POST 和 COOKIE 数据自动运行转义)

PHP 5.4 之前 PHP 指令 magic_quotes_gpc 默认是 on。

本特性已自PHP 5.3.0 起废弃并将自 PHP 5.4.0 起移除，在PHP 5.4.O 起将始终返回 FALSE。

参考：

《magic_quotes_gpc相关说明》：

http://www.cnblogs.com/qiantuwuliang/archive/2009/11/12/1601974.html

3. addslashes

说明：

addslashes函数，它会在指定的预定义字符前添加反斜杠转义，这些预定义的字符是：单引号(')、双引号(")、反斜线(\)与 NUL(NULL 字符)。

这个函数的作用和magic_quotes_gpc一样。所以一般用addslashes前会检查是否开了magic_quotes_gpc。

http://p9.qhimg.com/t01b9cc5ebd329c3951.png

magic_quotes_gpc与addslashes的区别用法：

1)对于magic_quotes_gpc=on的情况

我们可以不对输入和输出数据库的字符串数据作addslashes()和stripslashes()的操作,数据也会正常显示。

如果此时你对输入的数据作了addslashes()处理，那么在输出的时候就必须使用stripslashes()去掉多余的反斜杠。

2)对于magic_quotes_gpc=off 的情况

必须使用addslashes()对输入数据进行处理，但并不需要使用stripslashes()格式化输出，

因为addslashes()并未将反斜杠一起写入数据库，只是帮助mysql完成了sql语句的执行。

参考：

《addslashes函数说明》：

https://secure.php.net/manual/zh/function.addslashes.php

《对于magic_quotes_gpc的一点认识》：

http://www.phpfans.net/bbs/viewthread.php?tid=6860&page=1&extra=page=1

4. mysql_real_escape_string

说明：

mysql_real_escape_string()函数转义 SQL 语句中使用的字符串中的特殊字符。

下列字符受影响：


 
 
    

  
  
  1. \x00 
    2. 

  
  
  2. \n 
    3. 

  
  
  3. \r 
    4. 

  
  
  4. \ 
    5. 

  
  
  5. ' 
    6. 

  
  
  6. " 
    7. 

  
  
  7. \x1a 
    8.

如果成功，则该函数返回被转义的字符串。如果失败，则返回 false。

本扩展自 PHP5.5.0 起已废弃，并在自 PHP 7.0.0 开始被移除。

因为完全性问题，建议使用拥有Prepared Statement机制的PDO和MYSQLi来代替mysql_query，使用的是mysqli_real_escape_string

参考：

《 PHP防SQL注入不要再用addslashes和mysql_real_escape_string了》：

http://blog.csdn.net/hornedreaper1988/article/details/43520257

《PDO防注入原理分析以及使用PDO的注意事项》：

http://zhangxugg-163-com.iteye.com/blog/1835721

5. htmlspecialchars()

说明：

htmlspecialchars()函数把预定义的字符转换为 HTML实体。

预定义的字符是：


 
 
    

  
  
  1. & （和号）成为 & 
    2. 

  
  
  2. " （双引号）成为 " 
    3. 

  
  
  3. ' （单引号）成为 ' 
    4. 

  
  
  4. < （小于）成为 &lt; 
    5. 

  
  
  5. > （大于）成为 &gt; 
    6.

6. 用正则匹配替换来过滤指定的字符


 
 
    

  
  
  1. preg_match 
    2. 

  
  
  2. preg_match_all() 
    3. 

  
  
  3. preg_replace 
    4.

参考：

《preg_match说明》：

http://php.net/manual/zh/function.preg-match.php

《preg_replace说明》：

https://secure.php.net/manual/zh/function.preg-replace.php

7. 转换数据类型

说明：

根据「检查数据类型」的原则，查询之前要将输入数据转换为相应类型，如uid都应该经过intval函数格式为int型。

8. 使用预编译语句

说明：

绑定变量使用预编译语句是预防SQL注入的最佳方式，因为使用预编译的SQL语句语义不会发生改变，在SQL语句中，变量用问号?表示，攻击者无法改变SQL语句的结构，从根本上杜绝了SQL注入攻击的发生。

代码示例：

http://p6.qhimg.com/t011554d1448b3f5840.png

参考：

《Web安全之SQL注入攻击技巧与防范》：

http://www.plhwin.com/2014/06/13/web-security-sql/

二、 几种绕过姿势

下面列举几个防御与绕过的例子：

例子1：addslashes

防御：

http://p5.qhimg.com/t01bd6f0a9c2f97bc13.png

这里用了addslashes转义。

绕过：

  • 将字符串转为16进制编码数据或使用char函数(十进制)进行转化(因为数据库会自动把16进制转化)
  • 用注释符去掉输入密码部分如“-- /* #”

payload:


 
 
    

  
  
  1. http://localhost/injection/user.php?username=admin-- hack 
    2.

(因为有的SQL要求--后要有空格，所以此处加上了hack)


 
 
    

  
  
  1. http://localhost/injection/user.php?username=admin/* 
    2.

(escape不转义/*)


 
 
    

  
  
  1. http://localhost/injection/user.php?username=admin%23 
    2.

(这里的%23即为#，注释掉后面的密码部分。注意IE浏览器会将#转换为空)


 
 
    

  
  
  1. http://localhost/injection/user.php?username=0x61646d696e23 
    2.

(admin# -->0x61646d696e23)


 
 
    

  
  
  1. http://localhost/injection/user.php?username=CHAR(97,100, 109, 105, 110, 35) 
    2.

(admin# -->CHAR(97, 100, 109, 105, 110, 35))

关于编码原理：

因为一般前端JavaScript都会escape()、encodeURL或encodeURIComponent编码再传输给服务器，主要为encodeURL，如下，所以可以利用这点。

JavaScript代码如：

JavaScript代码

拦截请求：

http://p4.qhimg.com/t018cafe605b0f54abb.png

1)escape( )

对ASCII字母、数字、标点符号"@* _ + - . /"不进行编码。在\u0000到\u00ff之间的符号被转成%xx的形式，其余符号被转成%uxxxx的形式。(注意escape()不对"+"编码，而平时表单中的空格会变成+)

2) encodeURL

对" ; / ? : @ & = + $ , # ' "不进行编码。编码后，它输出符号的utf-8形式，并且在每个字节前加上%。

3) encodeURIComponent

用于对URL的组成部分进行个别编码，而不用于对整个URL进行编码。

常用编码：  


 
 
    

  
  
  1. @ * _ + - ./ ;  \ ? : @ & = + $ , # ' 空格 
    2.

转码工具可用：

http://evilcos.me/lab/xssor/

参考：

《URL编码》：

http://www.ruanyifeng.com/blog/2010/02/url_encoding.html

例子2：匹配过滤

防御：

http://p1.qhimg.com/t011ef7d8ad83689108.png

绕过：

关键词and,or常被用做简单测试网站是否容易进行注入攻击。这里给出简单的绕过使用&&,||分别替换and,or。

  • 过滤注入： 1 or 1 = 1 1 and 1 = 1
  • 绕过注入： 1 || 1 = 1 1 && 1 = 1

关于preg_match过滤可以看参考文章，文章里讲得很详细了。

参考：

《高级SQL注入：混淆和绕过》：

http://www.cnblogs.com/croot/p/3450262.html

例子3：strstr

防御：

http://p3.qhimg.com/t01e38d15cd0ba68f9d.png

strstr ()查找字符串的首次出现，该函数区分大小写。如果想要不区分大小写，使用stristr()。(注意后面这个函数多了个i)

绕过：

strstr()函数是对大小写敏感的，所以我们可以通过大小写变种来绕过

payload:


 
 
    

  
  
  1. http://localhost/injection/user.php?id=1uNion select null,null,null 
    2.

例子4：空格过滤

防御：

http://p7.qhimg.com/t0197f1f3f7332c497a.png

绕过：

1)使用内联注释。

2)使用换行符代替空格。注意服务器若为Windows则换行符为%0A%0D，Linux则为%0A。


 
 
    

  
  
  1. http://localhost/injection/user.php?id=1/**/and/**/11=1 
    2. 

  
  
  2. http://localhost/injection/user.php?id=1%0A%0Dand%0A%0D1=1 
    3.

例子5：空字节

通常的输入过滤器都是在应用程序之外的代码实现的。比如入侵检测系统(IDS)，这些系统一般是由原生编程语言开发而成，比如C++，为什么空字节能起作用呢，就是因为在原生变成语言中，根据字符串起始位置到第一个出现空字节的位置来确定字符串长度。所以说空字节就有效的终止了字符串。

绕过：

只需要在过滤器阻止的字符串前面提供一个采用URL编码的空字节即可。

payload:

http://p3.qhimg.com/t010b93647c17389bbf.png

例子6：构造故意过滤

防御：

http://p9.qhimg.com/t01bb2f5ae28aa52562.png

绕过：

文件的63行开始可以看到，此处将传入的%27和%2527都进行删除处理，也就是还没传入数据库前就已经被该死的程序吃了，但是在67行看到他还吃了*，这样我们就有办法了，我们构造%*27，这样程序吃掉星号*后，%27就会被传入。

payload:    


 
 
    

  
  
  1. http://localhost/injection/user.php?id%3D1%*27%*20and%*20%*271%*27%3D%*271 
    2.

(id=1' and '1'='1-->id%3D1%*27%*20and%*20%*271%*27%3D%*271)

参考：

《phpcms_v9.6.0_sql注入与exp》：

https://zhuanlan.zhihu.com/p/26263513

作者：神月资讯
来源：51CTO

文章标签：
云数据库 RDS MySQL 版
SQL
PHP
数据库
前端开发
关键词：
SQL注入
SQL防御
SQL注入防御
相关实践学习
如何快速连接云数据库RDS MySQL
本场景介绍如何通过阿里云数据管理服务DMS快速连接云数据库RDS MySQL，然后进行数据表的CRUD操作。
全面了解阿里云能为你做什么
阿里云在全球各地部署高效节能的绿色数据中心，利用清洁计算为万物互联的新世界提供源源不断的能源动力，目前开服的区域包括中国（华北、华东、华南、香港）、新加坡、美国（美东、美西）、欧洲、中东、澳大利亚、日本。目前阿里云的产品涵盖弹性计算、数据库、存储与CDN、分析与搜索、云通信、网络、管理与监控、应用服务、互联网中间件、移动服务、视频服务等。通过本课程，来了解阿里云能够为你的业务带来哪些帮助 &nbsp; &nbsp; 相关的阿里云产品：云服务器ECS 云服务器 ECS（Elastic Compute Service）是一种弹性可伸缩的计算服务，助您降低 IT 成本，提升运维效率，使您更专注于核心业务创新。产品详情: https://www.aliyun.com/product/ecs
云栖大讲堂
目录
相关文章
蓝易云
|
1月前
|
SQL 安全 前端开发
Web学习_SQL注入_联合查询注入
联合查询注入是一种强大的SQL注入攻击方式，攻击者可以通过 `UNION`语句合并多个查询的结果，从而获取敏感信息。防御SQL注入需要多层次的措施，包括使用预处理语句和参数化查询、输入验证和过滤、最小权限原则、隐藏错误信息以及使用Web应用防火墙。通过这些措施，可以有效地提高Web应用程序的安全性，防止SQL注入攻击。
蓝易云
54 2
东方睿赢
|
3月前
|
SQL 安全 数据库
惊！Python Web安全黑洞大曝光：SQL注入、XSS、CSRF，你中招了吗？
在数字化时代，Web应用的安全性至关重要。许多Python开发者在追求功能时，常忽视SQL注入、XSS和CSRF等安全威胁。本文将深入剖析这些风险并提供最佳实践：使用参数化查询预防SQL注入；通过HTML转义阻止XSS攻击；在表单中加入CSRF令牌增强安全性。遵循这些方法，可有效提升Web应用的安全防护水平，保护用户数据与隐私。安全需持续关注与改进，每个细节都至关重要。
东方睿赢
142 5
众所周知
|
3月前
|
SQL 安全 数据库
深度揭秘：Python Web安全攻防战，SQL注入、XSS、CSRF一网打尽！
在Web开发领域，Python虽强大灵活，却也面临着SQL注入、XSS与CSRF等安全威胁。本文将剖析这些常见攻击手段，并提供示例代码，展示如何利用参数化查询、HTML转义及CSRF令牌等技术构建坚固防线，确保Python Web应用的安全性。安全之路永无止境，唯有不断改进方能应对挑战。
众所周知
86 5
众所周知
|
3月前
|
SQL 安全 数据安全/隐私保护
Python Web安全大挑战：面对SQL注入、XSS、CSRF，你准备好了吗？
在构建Python Web应用时，安全性至关重要。本文通过三个真实案例，探讨了如何防范SQL注入、XSS和CSRF攻击。首先，通过参数化查询替代字符串拼接，防止SQL注入；其次，利用HTML转义机制，避免XSS攻击；最后，采用CSRF令牌验证，保护用户免受CSRF攻击。这些策略能显著增强应用的安全性，帮助开发者应对复杂的网络威胁。安全是一个持续的过程，需不断学习新知识以抵御不断变化的威胁。
众所周知
128 1
东方睿赢
|
3月前
|
SQL 安全 数据库
Python Web开发者必看！SQL注入、XSS、CSRF全面解析，守护你的网站安全！
在Python Web开发中，构建安全应用至关重要。本文通过问答形式，详细解析了三种常见Web安全威胁——SQL注入、XSS和CSRF，并提供了实用的防御策略及示例代码。针对SQL注入，建议使用参数化查询；对于XSS，需对输出进行HTML编码；而防范CSRF，则应利用CSRF令牌。通过这些措施，帮助开发者有效提升应用安全性，确保网站稳定运行。
东方睿赢
61 1
众所周知
|
3月前
|
SQL 安全 数据库
深度揭秘：Python Web安全攻防战，SQL注入、XSS、CSRF一网打尽！
在Web开发领域，Python虽强大灵活，但安全挑战不容小觑。本文剖析Python Web应用中的三大安全威胁：SQL注入、XSS及CSRF，并提供防御策略。通过示例代码展示如何利用参数化查询、HTML转义与CSRF令牌构建安全防线，助您打造更安全的应用。安全是一场持久战，需不断改进优化。
众所周知
58 3
龙大吉
|
3月前
|
SQL 安全 数据库
从入门到精通：Python Web安全守护指南，SQL注入、XSS、CSRF全防御！
【9月更文挑战第13天】在开发Python Web应用时，安全性至关重要。本文通过问答形式，详细介绍如何防范SQL注入、XSS及CSRF等常见威胁。通过使用参数化查询、HTML转义和CSRF令牌等技术，确保应用安全。附带示例代码，帮助读者从入门到精通Python Web安全。
龙大吉
96 6
龙大吉
|
3月前
|
SQL 安全 JavaScript
告别Web安全小白！Python实战指南：抵御SQL注入、XSS、CSRF的秘密武器！
【9月更文挑战第12天】在Web开发中，安全漏洞如同暗礁，尤其对初学者而言，SQL注入、跨站脚本（XSS）和跨站请求伪造（CSRF）是常见挑战。本文通过实战案例，展示如何利用Python应对这些威胁。首先，通过参数化查询防止SQL注入；其次，借助Jinja2模板引擎自动转义机制抵御XSS攻击；最后，使用Flask-WTF库生成和验证CSRF令牌，确保转账功能安全。掌握这些技巧，助你构建更安全的Web应用。
龙大吉
71 5
东方睿赢
|
5月前
|
SQL 安全 数据库
Python Web开发者必看！SQL注入、XSS、CSRF全面解析，守护你的网站安全！
【7月更文挑战第27天】在 Python Web 开发中, 安全至关重要。
东方睿赢
78 0
龙大吉
|
5月前
|
SQL 安全 JavaScript
告别Web安全小白！Python实战指南：抵御SQL注入、XSS、CSRF的秘密武器！
【7月更文挑战第27天】在 Web 开发中，安全漏洞如同暗礁，其中 SQL 注入、XSS 和 CSRF 尤为棘手。本文通过实战案例展示如何使用 Python 抵御这些威胁。
龙大吉
67 0

热门文章

最新文章

  • 1
    PostgreSQL SQL HINT的使用
  • 2
    SQL0286N. DB2表空间的pagesize问题
  • 3
    基于 MySQL + Tablestore 分层存储架构的大规模订单系统实践-SQL 查询和分析
  • 4
    信息周刊：土耳其黑客借SQL注入侵入美军服务器
  • 5
    tempdb对SQL Server性能的影响 <转>
  • 6
    Execute SQL Task 参数和变量的映射
  • 7
    SQL SERVER 2012 执行计划走嵌套循环导致性能问题的案例
  • 8
    SQL Server 深入解析索引存储(堆)
  • 9
    直播预告 | PolarDB-X 动手实践系列——如何在 PolarDB-X 中优化慢 SQL
  • 10
    定期清理sql2005事务日志
  • 1
    SQL脚本相除
    73
  • 2
    0基础学习SQL注入之万能账号密码（BUUctf例题-[极客大挑战 2019]EasySQL1）
    691
  • 3
    SQL脚本利用带关联子查询Update语句更新数据
    137
  • 4
    10分钟了解Flink SQL使用
    401
  • 5
    SQL脚本把多行SQL数据变成一条多列数据
    123
  • 6
    mybatis动态sql
    46
  • 7
    基于若依的ruoyi-nbcio流程管理系统修改代码生成的sql菜单id修改成递增id（谨慎修改，大并发分布式有弊端）
    118
  • 8
    SQL脚本字符串替换
    77
  • 9
    你写的每条SQL都是全表扫描吗
    187
  • 10
    数据库SQL语言实战（六）
    54

    • 相关课程

    更多
  • 如何在 PolarDB-X 中优化慢 SQL
  • SQL完全自学手册
  • SQL Server on Linux入门教程
  • SQL入门与实践
  • 数据库及SQL/MySQL基础
  • SQL进阶及查询

    • 相关电子书

    更多
  • SQL Server 2017
  • GeoMesa on Spark SQL
  • 原生SQL on Hadoop引擎- Apache HAWQ 2.x最新技术解密malili

    • 相关实验场景

    更多
  • PolarDB for AI：在数据库中通过SQL实现AI能力
  • 玩转MaxCompute SQL! 30分钟搞定数据分析挖掘
  • 使用SQL语句实现数据表管理
  • 使用SQL语句实现数据插入、修改和删除操作
  • 使用SQL语句实现数据查询操作
  • 使用SQL语句管理索引
    • 下一篇
    DataWorks售前咨询