防止sql注入攻击的方法总结

简介: SQL注入是一种利用未过滤/未审核用户输入的攻击方法(“缓存溢出”和这个不同),意思就是让应用运行本不应该运行的SQL代码。

SQL注入是一种利用未过滤/未审核用户输入的攻击方法(“缓存溢出”和这个不同),意思就是让应用运行本不应该运行的SQL代码。通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,就会造成一些出人意料的结果,最终达到欺骗服务器执行恶意的SQL命令。

SQL注入是比较常见的网络攻击方式之一,它不是利用操作系统的BUG来实现攻击,而是针对程序员编程时的疏忽,通过SQL语句,实现无帐号登录,甚至篡改数据库。
二、SQL注入攻击的总体思路

1.寻找到SQL注入的位置

2.判断服务器类型和后台数据库类型

3.针对不通的服务器和数据库特点进行SQL注入攻击
三、防止SQL注入攻击的方法总结
一、参数化SQL

是指在设计与数据库链接并访问数据时,在需要填入数值或数据的地方,使用参数 (Parameter) 来给值,用@来表示参数。

在使用参数化查询的情况下,数据库服务器不会将参数的内容视为SQL指令的一部份来处理,而是在数据库完成 SQL 指令的编译后,才套用参数运行,因此就算参数中含有恶意的指令,由于已经编译完成,就不会被数据库所运行,因此,可从一定程度上避免SQL注入。(注意:只是一定程度上避免,仍有例外)

在不用的数据库上基本语法都是一样的,但在不同的运行平台上客户端的书写有不同之处,举例使用SQL server在.net上执行。

    SqlCommand sqlcmd = new SqlCommand("INSERT INTO myTable (c1, c2, c3, c4) VALUES (@c1, @c2)", sqlconn);
    sqlcmd.Parameters.AddWithValue("@c1", 1); ' 设定参数 @c1 的值。
    sqlcmd.Parameters.AddWithValue("@c2", 2); ' 设定参数 @c2 的值。
    sqlconn.Open();
    sqlcmd.ExecuteNonQuery();
    sqlconn.Close();

注意:

1、如果存储过程中使用字符串拼接sql的话,上面的参数化将不会起作用,单引号必须经过判断并替换,在数据库中,用2个单引号代表1个实际的单引号。所以,如果是拼接sql字符串的方式,需要用Replace(@para,'''', '''''')来替换一下,将1个单引号替换为2个就没有问题了。

2、使用这种参数化查询的办法,防止SQL注入的任务就交给ADO.NET了, 如果在项目中统一规定必须使用参数化查询,就不用担心因个别程序员的疏忽导致的SQL注入漏洞了。 但是,问题还没有完,SQL注入的漏洞是堵住了,但是查询结果的正确性,参数化查询并不能帮上什么忙。
二、字符串过滤(在上面方法不能阻止的情况下,可以使用该方法,不推荐使用)

//字符串过滤,防止sql注入。

    public bool IsHasSQLInject(string str){
    bool isHasSQLInject = false;

//字符串中的关键字更具需要添加

    string inj_str = "'|and|exec|union|create|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|xp_|or|--|+";
    str = str.ToLower().Trim();
    string[] inj_str_array = inj_str.Split('|');
    foreach (string sql in inj_str_array)
    {
    if (str.IndexOf(sql) > -1)
    {
    isHasSQLInject = true;
    break;
    }
    }
    return isHasSQLInject;
    }

三、使用正则表达式过滤传入的参数(这个方法没有亲自验证,从网上找来的)

下面是具体的正则表达式:

检测SQL meta-characters的正则表达式 :/(%27)|(’)|(--)|(%23)|(#)/ix

修正检测SQL meta-characters的正则表达式 :/((%3D)|(=))1*((%27)|(’)|(--)|(%3B)|(:))/i

典型的SQL 注入攻击的正则表达式 :/w*((%27)|(’))((%6F)|o|(%4F))((%72)|r|(%52))/ix

检测SQL注入,UNION查询关键字的正则表达式 :/((%27)|(’))union/ix(%27)|(’)

检测MS SQL Server SQL注入攻击的正则表达式:/exec(s|+)+(s|x)pw+/ix

结合Regular Expression使用,简称RE是一种非常强大的文字验证技术。If Re.Mathc(str,pattern).Success Then 继续执行,这里使用Match方法来对用户输入的内容与定义好的模板进行验证。
四、前端js防范SQL注入(前端验证只能起到一定作用,还需要后台参数化阻止SQL注入)

     var url = location.search;
     var re=/^\?(.*)(select%20|insert%20|delete%20from%20|count\(|drop%20table|update%20truncate%20|asc\(|mid\(|char\(|xp_cmdshell|exec%20master|net%20localgroup%20administrators|\"|:|net%20user|\|%20or%20)(.*)$/gi;
     var e = re.test(url);
     if(e) {
     alert("地址中含有非法字符~");
     location.href="error.asp";
     }

来源链接:https://www.wosign.com/news/news_2018121301.htm


  1. n
相关文章
|
13天前
|
SQL 安全 网络安全
Victor CMS v1.0 SQL 注入(CVE-2022-26201)
Victor CMS v1.0 SQL 注入(CVE-2022-26201)
|
12天前
|
SQL API Python
`bandit`是一个Python静态代码分析工具,专注于查找常见的安全漏洞,如SQL注入、跨站脚本(XSS)等。
`bandit`是一个Python静态代码分析工具,专注于查找常见的安全漏洞,如SQL注入、跨站脚本(XSS)等。
|
13天前
|
SQL 自然语言处理 安全
Atom CMS v2.0 SQL 注入(CVE-2022-24223)
Atom CMS v2.0 SQL 注入(CVE-2022-24223)
|
14天前
|
SQL 监控 安全
数据库安全:SQL注入防御实践
【7月更文挑战第11天】SQL注入攻击作为一种常见的网络攻击手段,对数据库的安全性和业务稳定构成了严重威胁。为了有效防御SQL注入攻击,开发者和数据库管理员应采取一系列实践措施,包括输入验证与过滤、使用参数化查询、限制数据库用户权限、使用Web应用程序防火墙、定期更新和打补丁、实施实时监控和审计以及使用HTTPS协议等。通过这些措施的实施,可以显著提升数据库的安全性,降低遭受SQL注入攻击的风险。同时,开发者和数据库管理员应持续关注新的安全威胁和防御技术,不断提升自身的安全防护能力。
|
13天前
|
SQL 安全 网络安全
Victor CMS v1.0 SQL 注入(CVE-2022-28060)
Victor CMS v1.0 SQL 注入(CVE-2022-28060)
Victor CMS v1.0 SQL 注入(CVE-2022-28060)
|
17天前
|
SQL 数据库 Python
【Python】已完美解决:(executemany()方法字符串参数问题)more placeholders in sql than params available
【Python】已完美解决:(executemany()方法字符串参数问题)more placeholders in sql than params available
12 1
|
20天前
|
SQL
自定义SQL,可以利用MyBatisPlus的Wrapper来构建复杂的Where条件,如何自定义SQL呢?利用MyBatisPlus的Wrapper来构建Wh,在mapper方法参数中用Param注
自定义SQL,可以利用MyBatisPlus的Wrapper来构建复杂的Where条件,如何自定义SQL呢?利用MyBatisPlus的Wrapper来构建Wh,在mapper方法参数中用Param注
|
23天前
|
SQL 安全 关系型数据库
使用SQLMap进行SQL注入测试
使用SQLMap进行SQL注入测试
|
13天前
|
SQL 安全 关系型数据库
Atom CMS v2.0 SQL 注入(CVE-2022-25488)
Atom CMS v2.0 SQL 注入(CVE-2022-25488)
|
13天前
|
SQL 安全 关系型数据库
Web Based Quiz System v1.0 SQL 注入(CVE-2022-32991)
Web Based Quiz System v1.0 SQL 注入(CVE-2022-32991)