认识安全测试之SQL注入

一 前言

在桌面软件的客户查询输入框输入特殊字符，竟然发现有sql注入漏洞。因此，决定把这个知识点捋一捋。

 

二 什么是SQL注入

提起概念，直接拿百度百科的解释先有个初步理解吧。

摘自百度百科：

“所谓SQL注入式×××，就是输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造（或者影响）动态SQL命令，或做为存储过程的输入参数，这类表单特别容易受到SQL注入式×××。”

从上面的解释不难发现，SQL注入就是经过构造特定的输入，提交到服务器后，欺骗服务器执行恶意的SQL命令，这是从×××者角度考虑的。若是是从防护者角度，在产品发布前就须要进行安全测试，对可能存在SQL的漏洞进行排查、修复。

 

三 快速理解SQL注入

上面的概念化，可能还会以为茫然，好吧，那咱们就用简洁、直观的图表进一步描述SQL注入是如何进行欺骗的。

首先咱们以51cto的登陆界面做为例子，看一个正常的登陆场景：

为了描述sql注入的概念，如今咱们把这个登陆的处理逻辑简化。假如咱们输入用户名pingshan和密码1111，点击登陆按钮后，后台服务器会执行以下sql语句：

Select count(*) from user where user_name=’pingshan’ and pass_word =’1111’

若是返回值为空，则登陆成功。

 

如今假设存在sql注入漏洞，用户名输入pingshan';--，如图所示：

当咱们点击登陆按钮进行提交后，后台服务器进行拼串，执行的sql语句将是这样的：

Select count(*) from user where user_name=’pingshan’;--’ and pass_word =’1111’

 

有没发现？！后面的密码条件直接被注释掉了（-- 注释符号），就是说，只有知道任意一个用户名，就能够无密登陆了，多可怕！

 

四 如何防止SQL注入

防止SQL注入的思路有如下几点：

1. 对用户的输入进行校验，能够经过正则表达式、限制长度、对单引号和双"-"等特殊字符进行转换；

2. 使用参数化的sql或直接使用存储过程进行数据查询存取，避免使用动态拼装sql；

3. 为每一个应用配置权限有限的数据库链接，避免使用管理员权限的数据库链接；

4. 对重要或机密信息进行加密后存储；

5. 异常信息给尽量少的提示，最好使用自定义的错误信息对原始错误信息进行包装；

 

五 如何进行SQL注入检测

SQL注入检测通常采用工具进行自动化检测，并且这方面的工具比较多，介绍其中2个：

sqlmap：一个很是强大的sql注入检测与辅助工具

工具网址：http://sqlmap.org/

 

SQLiv：一款批量SQL注入漏洞扫描工具

介绍网址：http://www.freebuf.com/column/150588.html