sql注入过程详解_动力节点Java学院整理

SQL注入过程详解

SQL注入是一种常见的Web安全漏洞，攻击者借助此漏洞可以获取网站后台数据库中的敏感信息、修改数据、甚至完全控制网站。

SQL注入概述

SQL注入是指攻击者通过构造特定的输入，向数据库系统中插入恶意的SQL语句片段，从而达到欺骗数据库系统执行恶意的SQL语句的目的。在实际应用中，SQL注入是常见的网络攻击技术，它是Web安全领域中一种严重的威胁，常常利用脚本猫方便地进行攻击。SQL注入可通过应用层漏洞拦截并篡改应用程序传输的数据，达到破坏Web服务器和数据库系统的目的。

SQL注入形式

SQL注入可以分为以下几种形式：

1. 简单SQL注入：攻击者通过输入简单的SQL语句，达到查询、修改和删除数据的目的。

2. 布尔盲注注入：攻击者利用SQL的返回结果的布尔类型来判断注入的SQL语句是否执行成功，从而达到查询出数据或者破坏数据库系统的目的。

3. 时间盲注注入：攻击者利用SQL语句执行时所需要消耗的时间长短来判断注入SQL语句是否执行成功，其原理和布尔盲注一致。

4. 报错注入：攻击者构造恶意的SQL语句，让数据库系统在执行时返回错误信息，进而获得数据库中的敏感信息。

SQL注入示例

简单SQL注入

假设我们的应用程序存在一个用户登录功能，代码如下：

// 注册账号并返回用户ID
public int register(String username, String password) throws SQLException {
    String sql = "insert into users(username,password) values('" + username + "','" + password + "')";
    // SQL执行
    ......
    return id;
}

public boolean login(String username, String password) throws SQLException {
    String sql = "select * from users where username='" + username + "' and password='" + password + "'";
    ......
}

注意到register方法的参数username和password并未进行任何过滤，如果用户输入的是恶意注入语句，数据库将会受到攻击。例如输入用户名：aaa' or '1'='1'--, 密码随意，sql构造出来的语句如下：

insert into users(username,password) values('aaa' or '1'='1'--','password')

-- 代表注释符，这句话将永远成立，相当于在数据库插入了一条不合法的数据。

同理，如果输入用户名和密码均为：' or 1=1 -- 也会导致登录功能被绕过。

布尔盲注注入

布尔盲注注入原理：利用应用服务器响应成功与失败的返回结果，判断数据是否存在。

在这个示例中，我们假设应用程序存在一个搜索功能，代码如下：

public List<Article> search(String keyword) throws SQLException {
    String sql = "select * from articles where title like '%" + keyword + "%'";
    ......
    return list;
}

如果用户通过搜索输入关键字：' or 1=1 --，那么我们将会构造如下的SQL语句：

select * from articles where title like '%' or 1=1 --%'

这句话相当于查询所有的文章，因为or 1=1 代表逻辑表达式永远为真。攻击者可以通过这种方式获取到整个表的数据。

时间盲注注入

时间盲注注入原理：攻击者通过构造恶意的SQL语句，让服务器的响应时间长短来判断自己的SQL是否执行成功。

在这个示例中，我们假设应用程序存在一个搜索功能，但在查询前，服务器会进行一段时间的防御-即，人为延迟。代码如下：

public List<Article> search(String keyword) throws SQLException {
    Thread.sleep(1000); // 人为延迟1秒钟
    String sql = "select * from articles where title like '%" + keyword + "%'";
    ......
    return list;
}

如果用户通过搜索输入关键字：' or 1=1 --，那么我们构造如下的SQL语句：

select * from articles where title like '%' or 1=1 order by 1 --

order by 1的意思是根据第一列的值排序，由于我们不知道一共有几列，所以要从1开始。攻击者可以通过观察查询花费的时间，来判断SQL是否执行成功。

防御SQL注入

为了防止SQL注入攻击，我们在编写代码的时候，应该牢记以下原则：

1. SQL语句中的参数必须使用预编译语句进行绑定，如使用PreparedStatement对象。

2. 输入参数要进行过滤和校验，尤其是动态传参时，要使用Escaper等类库进行编码过滤。

3. 不要通过拼接SQL实现动态查询，可使用ORM框架完成。

在实际开发中，更加有效的措施是采用框架进行开发，让框架来实现输入参数的自动绑定，从而减少SQL注入的风险。