首页>安全资讯>防止sql注入攻击的方法总结

防止sql注入攻击的方法总结

SQL注入是一类危害极大的攻击形式。虽然危害很大,但是防御却远远没有XSS那么困难。SQL注入漏洞存在的原因,就是拼接SQL参数。也就是将用于输入的查询参数,直接拼接在SQL语句中,导致了SQL注入漏洞,那么我们应该如何防止sql注入攻击呢?下文是对sql注入攻击的一些方法总结。

一、什么是SQL注入?

SQL注入是一种利用未过滤/未审核用户输入的攻击方法(“缓存溢出”和这个不同),意思就是让应用运行本不应该运行的SQL代码。通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,就会造成一些出人意料的结果,最终达到欺骗服务器执行恶意的SQL命令。

SQL注入是比较常见的网络攻击方式之一,它不是利用操作系统的BUG来实现攻击,而是针对程序员编程时的疏忽,通过SQL语句,实现无帐号登录,甚至篡改数据库。

二、SQL注入攻击的总体思路

1.寻找到SQL注入的位置

2.判断服务器类型和后台数据库类型

3.针对不通的服务器和数据库特点进行SQL注入攻击

三、防止SQL注入攻击的方法总结

一、参数化SQL

是指在设计与数据库链接并访问数据时,在需要填入数值或数据的地方,使用参数 (Parameter) 来给值,用@来表示参数。

在使用参数化查询的情况下,数据库服务器不会将参数的内容视为SQL指令的一部份来处理,而是在数据库完成 SQL 指令的编译后,才套用参数运行,因此就算参数中含有恶意的指令,由于已经编译完成,就不会被数据库所运行,因此,可从一定程度上避免SQL注入。(注意:只是一定程度上避免,仍有例外)

在不用的数据库上基本语法都是一样的,但在不同的运行平台上客户端的书写有不同之处,举例使用SQL server在.net上执行。

	    SqlCommand sqlcmd = new SqlCommand("INSERT INTO myTable (c1, c2, c3, c4) VALUES (@c1, @c2)", sqlconn);
	    sqlcmd.Parameters.AddWithValue("@c1", 1); ' 设定参数 @c1 的值。
	    sqlcmd.Parameters.AddWithValue("@c2", 2); ' 设定参数 @c2 的值。
	    sqlconn.Open();
	    sqlcmd.ExecuteNonQuery();
	    sqlconn.Close();

注意:

1、如果存储过程中使用字符串拼接sql的话,上面的参数化将不会起作用,单引号必须经过判断并替换,在数据库中,用2个单引号代表1个实际的单引号。所以,如果是拼接sql字符串的方式,需要用Replace(@para,'''', '''''')来替换一下,将1个单引号替换为2个就没有问题了。

2、使用这种参数化查询的办法,防止SQL注入的任务就交给ADO.NET了, 如果在项目中统一规定必须使用参数化查询,就不用担心因个别程序员的疏忽导致的SQL注入漏洞了。 但是,问题还没有完,SQL注入的漏洞是堵住了,但是查询结果的正确性,参数化查询并不能帮上什么忙。

二、字符串过滤(在上面方法不能阻止的情况下,可以使用该方法,不推荐使用)

//字符串过滤,防止sql注入。

		public bool IsHasSQLInject(string str){
	    bool isHasSQLInject = false;

//字符串中的关键字更具需要添加

	    string inj_str = "'|and|exec|union|create|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|xp_|or|--|+";
	    str = str.ToLower().Trim();
	    string[] inj_str_array = inj_str.Split('|');
	    foreach (string sql in inj_str_array)
	    {
	    if (str.IndexOf(sql) > -1)
	    {
	    isHasSQLInject = true;
	    break;
	    }
	    }
	    return isHasSQLInject;
	    }

三、使用正则表达式过滤传入的参数(这个方法没有亲自验证,从网上找来的)

下面是具体的正则表达式:

检测SQL meta-characters的正则表达式 :/(\%27)|(\’)|(\-\-)|(\%23)|(#)/ix

修正检测SQL meta-characters的正则表达式 :/((\%3D)|(=))[^\n]*((\%27)|(\’)|(\-\-)|(\%3B)|(:))/i

典型的SQL 注入攻击的正则表达式 :/\w*((\%27)|(\’))((\%6F)|o|(\%4F))((\%72)|r|(\%52))/ix

检测SQL注入,UNION查询关键字的正则表达式 :/((\%27)|(\’))union/ix(\%27)|(\’)

检测MS SQL Server SQL注入攻击的正则表达式:/exec(\s|\+)+(s|x)p\w+/ix

结合Regular Expression使用,简称RE是一种非常强大的文字验证技术。If Re.Mathc(str,pattern).Success Then 继续执行,这里使用Match方法来对用户输入的内容与定义好的模板进行验证。

四、前端js防范SQL注入(前端验证只能起到一定作用,还需要后台参数化阻止SQL注入)

	     var url = location.search;
	     var re=/^\?(.*)(select%20|insert%20|delete%20from%20|count\(|drop%20table|update%20truncate%20|asc\(|mid\(|char\(|xp_cmdshell|exec%20master|net%20localgroup%20administrators|\"|:|net%20user|\|%20or%20)(.*)$/gi;
	     var e = re.test(url);
	     if(e) {
	     alert("地址中含有非法字符~");
	     location.href="error.asp";
	     }

以上,是为大家分享"防止sql注入攻击的方法总结”的全部内容,如果用户遇到的问题不能解决,可通过wosign官网客服寻求帮助,凡是选择wosign ssl证书的网站用户,wosign可提供免费一对一的ssl证书技术部署支持,免除后顾之忧.

相关资讯

SQL注入原理及预防SQL注入的方法

网络安全成为了现在互联网的焦点,这也恰恰触动了每一位用户的神经,担心网上的信息以及个人隐私遭到泄露。下面要为大家介绍的是SQL注入,对于sql注入,相信程序员都知道或者使用过,如果没有了解或完全没有听过也没有关系,我们可以通过下面来一起学习下。

揭秘web最常见的攻击和防御手段

随着互联网的发展与技术深入,网站已成为黑客攻击的主要目标,如何有效地防范成为亟待解决的问题,其实这个问题一直都存在,也有应对的方法,有攻击就有防御,下面要为大家介绍的就是web最常见的攻击和防御手段,一起来学习学习!

最新资讯

代码签名证书原理和作用

HTTP和HTTPS连接是如何建立的?

rsa算法产生的过程与原理详解

iphone手机如何安装ssl证书?

网站做https证书认证刻不容缓(揭秘流量劫持黑幕)

标签推荐:https免费证书 | 域名ssl证书 | https证书申请| 数字证书过期| PDF数字证书| ssl证书更新| 小程序证书| 驱动数字签名| 微软代码签名| android数字签名| java代码签名| ssl证书部署| 时间戳技术| 电子签名技术