Web安全之SQL注入：如何预防及解决

2024-09-08 01:44
文章标签 sql 安全 注入 web 解决 预防 database

本文主要是介绍Web安全之SQL注入：如何预防及解决，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

SQL注入（SQL Injection）是最常见的Web应用漏洞之一，它允许攻击者通过注入恶意SQL代码来操作数据库，获取、修改或删除数据。作为Java开发者，理解并防止SQL注入攻击是至关重要的。在本篇文章中，我们将详细介绍SQL注入的原理，演示如何在电商交易系统中出现SQL注入漏洞，并提供正确的防范措施和解决方案。

1. 什么是SQL注入？

SQL注入是一种通过在用户输入中嵌入恶意SQL代码的攻击方式。攻击者可以利用漏洞在未经授权的情况下访问数据库，执行原本不被允许的操作。例如，攻击者可以绕过身份验证、检索敏感信息，甚至删除数据。

1.1 SQL注入的基本原理

SQL注入的根本原因是应用程序将用户输入直接拼接到SQL查询中执行。当用户输入未经过适当的转义或验证时，恶意用户可以通过构造特定的输入，改变SQL查询的结构，导致安全问题。

1.2 常见的SQL注入类型
  • 联合查询注入（Union-based Injection）：攻击者使用UNION查询组合多个SQL结果。
  • 基于错误的注入（Error-based Injection）：利用SQL错误信息反馈，攻击者可以推断数据库结构。
  • 盲注（Blind SQL Injection）：攻击者通过布尔条件推测数据库信息，即使没有直接的错误反馈。

2. 防止SQL注入的基本策略

除了简单的登录场景外，SQL注入还可能出现在许多其他地方，如搜索、表单提交、订单处理等。我们需要综合运用多种防御策略来保证系统的安全。

  1. 使用预编译的SQL查询（Prepared Statements）： 预编译查询不仅能防止SQL注入，还能提升查询的执行效率。
  2. 对用户输入进行严格验证： 在接受用户输入之前，对其进行合法性验证，如使用正则表达式检查字符串的格式。
  3. 最小权限原则： 数据库用户应仅拥有执行任务所需的最小权限。如果一个用户不需要修改数据，那么他应该只被赋予读取权限。
  4. 使用ORM框架： 使用Hibernate、MyBatis等ORM框架可以有效减少手动编写SQL的机会，从而降低SQL注入的风险。

3. PreparedStatement防止SQL注入

以电商系统的订单查询功能为例，用户可以通过输入订单编号查看订单详情。如果未进行适当的安全检查，攻击者可以利用SQL注入来查询其他用户的订单信息，甚至删除订单记录。

错误示范：拼接订单编号的查询
public Order getOrderById(String orderId) {String query = "SELECT * FROM orders WHERE order_id = '" + orderId + "'";try (Connection conn = DriverManager.getConnection(dbUrl, dbUser, dbPass);Statement stmt = conn.createStatement()) {ResultSet rs = stmt.executeQuery(query);if (rs.next()) {return new Order(rs.getString("order_id"), rs.getString("order_status"));}} catch (SQLException e) {e.printStackTrace();}return null;
}

如果攻击者输入 orderId 为 '; DELETE FROM orders; --，则原始SQL语句将变为：

SELECT * FROM orders WHERE order_id = ''; DELETE FROM orders; --'

这将导致数据库删除orders表中的所有记录。

正确示范：使用PreparedStatement和参数化查询
public Order getOrderById(String orderId) {String query = "SELECT * FROM orders WHERE order_id = ?";try (Connection conn = DriverManager.getConnection(dbUrl, dbUser, dbPass);PreparedStatement pstmt = conn.prepareStatement(query)) {pstmt.setString(1, orderId);ResultSet rs = pstmt.executeQuery();if (rs.next()) {return new Order(rs.getString("order_id"), rs.getString("order_status"));}} catch (SQLException e) {e.printStackTrace();}return null;
}

通过使用PreparedStatement，我们将用户输入的orderId作为参数传递给查询，确保SQL注入无效。

4 白名单方式防止SQL注入

除了PreparedStatement，我们可以采用“白名单”方式来防止SQL注入。白名单方式通过限制输入值的合法范围，从而避免注入攻击。这种方法特别适用于那些用户输入内容相对固定的场景，比如查询条件、枚举值等。

白名单校验是一种确保输入内容仅限于预定义合法值的方法。比如，在电商系统中，订单状态可能只有几个固定值（如"pending"、"shipped"、"delivered"），这时可以通过白名单校验来确保输入合法。

白名单校验示例：

public String getOrderStatus(String status) {// 定义订单状态的白名单List<String> allowedStatus = Arrays.asList("pending", "shipped", "delivered", "canceled");if (!allowedStatus.contains(status)) {throw new IllegalArgumentException("Invalid status value");}String query = "SELECT * FROM orders WHERE status = '" + status + "'";try (Connection conn = DriverManager.getConnection(dbUrl, dbUser, dbPass);Statement stmt = conn.createStatement()) {ResultSet rs = stmt.executeQuery(query);if (rs.next()) {return rs.getString("status");}} catch (SQLException e) {e.printStackTrace();}return null;
}

在这个例子中，系统只允许来自白名单的订单状态值。如果输入超出白名单范围，代码会抛出IllegalArgumentException，拒绝非法输入。

优点：

  • 白名单方式特别适合输入值有明确范围的场景，比如状态、分类、类型等。

缺点：

  • 这种方式适用于输入值有限的场景，对于自由文本输入（如搜索框、评论等）不太适用。

5. 禁止特定函数：防止SLEEP()等危险函数

有些SQL注入攻击依赖于数据库的延时执行函数，比如SLEEP()函数。攻击者利用SLEEP()函数在盲注场景下判断SQL是否执行成功。为了防止这种类型的攻击，我们可以通过代码或数据库层面禁止这些函数。

5.1 数据库层面禁用函数

很多数据库（例如MySQL）允许通过配置禁用特定函数。可以在数据库用户权限配置中禁用危险函数，如SLEEP()、BENCHMARK()等。

在MySQL中，可以通过用户权限管理来禁用特定函数的执行：

REVOKE EXECUTE ON FUNCTION SLEEP FROM 'username'@'host';

通过这一命令，可以禁止某个用户调用SLEEP()函数，从而避免SQL注入攻击者通过此方法滥用系统资源。

5.2 代码层面防止危险函数调用

在应用层面，也可以通过检查SQL语句中是否包含危险的函数调用，来防止SQL注入。例如，可以在执行SQL查询之前，对SQL语句进行关键字匹配，检测是否包含SLEEP()、BENCHMARK()等关键字。

示例：代码层面禁止SLEEP()函数

public void executeQuery(String query) throws IllegalArgumentException {// 检查SQL语句中是否包含危险函数if (query.toLowerCase().contains("sleep") || query.toLowerCase().contains("benchmark")) {throw new IllegalArgumentException("SQL query contains forbidden functions");}try (Connection conn = DriverManager.getConnection(dbUrl, dbUser, dbPass);Statement stmt = conn.createStatement()) {ResultSet rs = stmt.executeQuery(query);// 执行查询逻辑...} catch (SQLException e) {e.printStackTrace();}
}

在该示例中，代码会在SQL查询执行前，检查SQL字符串中是否包含SLEEP()或BENCHMARK()函数。如果发现这些危险函数，系统会抛出异常，阻止查询的执行。

5.3 正则表达式校验

另一种防止SQL注入的方式是使用正则表达式来过滤用户输入。在一些场景下，我们可以通过正则表达式的方式检查输入字符串是否包含SQL注入的危险语句。

示例：使用正则表达式过滤危险SQL

public boolean isValidInput(String input) {// 定义SQL注入的危险关键字String regex = ".*([';--]|(\\b(select|update|delete|insert|drop|union|sleep|benchmark)\\b)).*";// 使用正则表达式匹配非法输入Pattern pattern = Pattern.compile(regex, Pattern.CASE_INSENSITIVE);Matcher matcher = pattern.matcher(input);return !matcher.matches();
}

该正则表达式可以检测出输入字符串是否包含SELECT、UPDATE、DELETE等关键字，或者使用';、--等SQL注释符号。一旦发现这些危险关键字或符号，系统可以拒绝输入。

注意：虽然正则表达式是一种有效的防御方式，但它有一定的复杂性，并且对于复杂的SQL注入攻击可能无法完全防范。因此，正则表达式更多是作为一种辅助手段，建议与其他安全措施（如PreparedStatement）配合使用。

6. 数据库权限最小化

除了过滤用户输入，限制数据库用户的权限也是一种有效的安全措施。通过遵循最小权限原则，我们可以减少攻击者即便成功进行SQL注入时的危害。

  • 数据库用户仅应拥有执行必要任务所需的权限。例如，某个用户仅需要读取数据而不需要修改数据时，应该只分配SELECT权限。
  • 创建不同的数据库用户用于不同的操作场景。比如，读取数据使用只读用户，插入和修改数据使用具有写权限的用户。

示例：最小权限管理

-- 创建一个只读用户
CREATE USER 'readonly_user'@'localhost' IDENTIFIED BY 'password';
GRANT SELECT ON ecommerce_db.* TO 'readonly_user'@'localhost';-- 创建一个写操作用户
CREATE USER 'write_user'@'localhost' IDENTIFIED BY 'password';
GRANT INSERT, UPDATE, DELETE ON ecommerce_db.* TO 'write_user'@'localhost';

通过最小化数据库用户的权限，即使攻击者成功注入了恶意SQL语句，所造成的危害也会被限制在用户权限范围内。

7. 使用ORM框架防止SQL注入

在Java开发中，使用ORM（对象关系映射）框架如Hibernate、MyBatis等，也是一种常见的防止SQL注入的方式。这些框架通过ORM机制将Java对象与数据库表映射，开发者无需手动拼接SQL语句，从而减少了SQL注入的可能性。

MyBatis示例：防止SQL注入

xml复制代码<select id="getOrderById" parameterType="String" resultType="Order">SELECT * FROM orders WHERE order_id = #{orderId}
</select>

在MyBatis中，#{}表示占位符，系统会自动将orderId作为参数传入查询，避免手动拼接SQL，从而防止SQL注入。

8. 总结

SQL注入是Web应用程序中最常见且最危险的安全漏洞之一，尤其是在涉及数据库操作的场景下，如电商交易系统。通过使用PreparedStatement、严格的输入验证、最小权限原则以及使用ORM框架等方法，我们可以有效防止SQL注入攻击。开发人员需要养成良好的编码习惯，始终考虑潜在的安全问题，确保应用程序的安全性。

这篇关于Web安全之SQL注入：如何预防及解决的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/1146765。

相关文章

SQL中的外键约束

SQL中的外键约束

外键约束用于表示两张表中的指标连接关系。外键约束的作用主要有以下三点： 1.确保子表中的某个字段（外键）只能引用父表中的有效记录2.主表中的列被删除时，子表中的关联列也会被删除3.主表中的列更新时，子表中的关联元素也会被更新 子表中的元素指向主表 以下是一个外键约束的实例展示
阅读更多...
基于MySQL Binlog的Elasticsearch数据同步实践

基于MySQL Binlog的Elasticsearch数据同步实践

一、为什么要做 随着马蜂窝的逐渐发展，我们的业务数据越来越多，单纯使用 MySQL 已经不能满足我们的数据查询需求，例如对于商品、订单等数据的多维度检索。 使用 Elasticsearch 存储业务数据可以很好的解决我们业务中的搜索需求。而数据进行异构存储后，随之而来的就是数据同步的问题。 二、现有方法及问题 对于数据同步，我们目前的解决方案是建立数据中间表。把需要检索的业务数据，统一放到一张M
阅读更多...
如何去写一手好SQL

如何去写一手好SQL

MySQL性能 最大数据量 抛开数据量和并发数，谈性能都是耍流氓。MySQL没有限制单表最大记录数，它取决于操作系统对文件大小的限制。 《阿里巴巴Java开发手册》提出单表行数超过500万行或者单表容量超过2GB，才推荐分库分表。性能由综合因素决定，抛开业务复杂度，影响程度依次是硬件配置、MySQL配置、数据表设计、索引优化。500万这个值仅供参考，并非铁律。 博主曾经操作过超过4亿行数据
阅读更多...
性能分析之MySQL索引实战案例

性能分析之MySQL索引实战案例

文章目录 一、前言二、准备三、MySQL索引优化四、MySQL 索引知识回顾五、总结 一、前言 在上一讲性能工具之 JProfiler 简单登录案例分析实战中已经发现SQL没有建立索引问题，本文将一起从代码层去分析为什么没有建立索引？ 开源ERP项目地址：https://gitee.com/jishenghua/JSH_ERP 二、准备 打开IDEA找到登录请求资源路径位置
阅读更多...
MySQL数据库宕机，启动不起来，教你一招搞定！

MySQL数据库宕机，启动不起来，教你一招搞定！

作者介绍：老苏，10余年DBA工作运维经验，擅长Oracle、MySQL、PG、Mongodb数据库运维（如安装迁移，性能优化、故障应急处理等）公众号：老苏畅谈运维欢迎关注本人公众号，更多精彩与您分享。 MySQL数据库宕机，数据页损坏问题，启动不起来，该如何排查和解决，本文将为你说明具体的排查过程。 查看MySQL error日志 查看 MySQL error日志，排查哪个表（表空间
阅读更多...
如何解决线上平台抽佣高 线下门店客流少的痛点！

如何解决线上平台抽佣高 线下门店客流少的痛点！

目前，许多传统零售店铺正遭遇客源下降的难题。尽管广告推广能带来一定的客流，但其费用昂贵。鉴于此，众多零售商纷纷选择加入像美团、饿了么和抖音这样的大型在线平台，但这些平台的高佣金率导致了利润的大幅缩水。在这样的市场环境下，商家之间的合作网络逐渐成为一种有效的解决方案，通过资源和客户基础的共享，实现共同的利益增长。 以最近在上海兴起的一个跨行业合作平台为例，该平台融合了环保消费积分系统，在短
阅读更多...
MySQL高性能优化规范

MySQL高性能优化规范

前言：      笔者最近上班途中突然想丰富下自己的数据库优化技能。于是在查阅了多篇文章后，总结出了这篇！ 数据库命令规范 所有数据库对象名称必须使用小写字母并用下划线分割 所有数据库对象名称禁止使用mysql保留关键字（如果表名中包含关键字查询时，需要将其用单引号括起来） 数据库对象的命名要能做到见名识意，并且最后不要超过32个字符 临时库表必须以tmp_为前缀并以日期为后缀，备份
阅读更多...
Java Web指的是什么

Java Web指的是什么

Java Web指的是使用Java技术进行Web开发的一种方式。Java在Web开发领域有着广泛的应用，主要通过Java EE（Enterprise Edition）平台来实现。  主要特点和技术包括： 1. Servlets和JSP：     Servlets 是Java编写的服务器端程序，用于处理客户端请求和生成动态网页内容。     JSP（JavaServer Pages）
阅读更多...
客户案例：安全海外中继助力知名家电企业化解海外通邮困境

客户案例：安全海外中继助力知名家电企业化解海外通邮困境

1、客户背景 广东格兰仕集团有限公司（以下简称“格兰仕”），成立于1978年，是中国家电行业的领军企业之一。作为全球最大的微波炉生产基地，格兰仕拥有多项国际领先的家电制造技术，连续多年位列中国家电出口前列。格兰仕不仅注重业务的全球拓展，更重视业务流程的高效与顺畅，以确保在国际舞台上的竞争力。 2、需求痛点 随着格兰仕全球化战略的深入实施，其海外业务快速增长，电子邮件成为了关键的沟通工具。
阅读更多...
安全管理体系化的智慧油站开源了。

安全管理体系化的智慧油站开源了。

AI视频监控平台简介 AI视频监控平台是一款功能强大且简单易用的实时算法视频监控系统。它的愿景是最底层打通各大芯片厂商相互间的壁垒，省去繁琐重复的适配流程，实现芯片、算法、应用的全流程组合，从而大大减少企业级应用约95%的开发成本。用户只需在界面上进行简单的操作，就可以实现全视频的接入及布控。摄像头管理模块用于多种终端设备、智能设备的接入及管理。平台支持包括摄像头等终端感知设备接入，为整个平台提
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2