认识安全测试之SQL注入
一 前言
让客户满意是我们工作的目标,不断超越客户的期望值来自于我们对这个行业的热爱。我们立志把好的技术通过有效、简单的方式提供给客户,将通过不懈努力成为客户在信息化领域值得信任、有价值的长期合作伙伴,公司提供的服务项目有:域名注册、虚拟空间、营销软件、网站建设、龙马潭网站维护、网站推广。
在桌面软件的客户查询输入框输入特殊字符,居然发现有sql注入漏洞。所以,决定把这个知识点捋一捋。
二 什么是SQL注入
提起概念,直接拿百度百科的解释先有个初步理解吧。
摘自百度百科:
“所谓SQL注入式×××,就是输入域或页面请求的查询字符串,欺骗服务器执行恶意的SQL命令。在某些表单中,用户输入的内容直接用来构造(或者影响)动态SQL命令,或作为存储过程的输入参数,这类表单特别容易受到SQL注入式×××。”
从上面的解释不难发现,SQL注入就是通过构造特定的输入,提交到服务器后,欺骗服务器执行恶意的SQL命令,这是从×××者角度考虑的。如果是从防御者角度,在产品发布前就需要进行安全测试,对可能存在SQL的漏洞进行排查、修复。
三 快速理解SQL注入
上面的概念化,可能还会觉得茫然,好吧,那我们就用简洁、直观的图表进一步描述SQL注入是如何进行欺骗的。
首先我们以51cto的登录界面作为例子,看一个正常的登录场景:
为了描述sql注入的概念,现在我们把这个登录的处理逻辑简化。假如我们输入用户名pingshan和密码1111,点击登录按钮后,后台服务器会执行如下sql语句:
Select count(*) from user where user_name=’pingshan’ and pass_word =’1111’
如果返回值为空,则登录成功。
现在假设存在sql注入漏洞,用户名输入pingshan';--,如图所示:
当我们点击登录按钮进行提交后,后台服务器进行拼串,执行的sql语句将是这样的:
Select count(*) from user where user_name=’pingshan’;--’ and pass_word =’1111’
有没发现?!后面的密码条件直接被注释掉了(-- 注释符号),就是说,只有知道任意一个用户名,就可以无密登录了,多可怕!
四 如何防止SQL注入
防止SQL注入的思路有以下几点:
1. 对用户的输入进行校验,可以通过正则表达式、限制长度、对单引号和双"-"等特殊字符进行转换;
2. 使用参数化的sql或直接使用存储过程进行数据查询存取,避免使用动态拼装sql;
3. 为每个应用配置权限有限的数据库连接,避免使用管理员权限的数据库连接;
4. 对重要或机密信息进行加密后存储;
5. 异常信息给尽可能少的提示,最好使用自定义的错误信息对原始错误信息进行包装;
五 如何进行SQL注入检测
SQL注入检测一般采用工具进行自动化检测,而且这方面的工具比较多,介绍其中2个:
sqlmap:一个非常强大的sql注入检测与辅助工具
工具网址:http://sqlmap.org/
SQLiv:一款批量SQL注入漏洞扫描工具
介绍网址:http://www.freebuf.com/column/150588.html
新闻名称:认识安全测试之SQL注入
转载来源:http://cdiso.cn/article/josgsd.html