您现在的位置是:首页 >技术点滴> Web 网站首页Web

Web安全漏洞之SQL注入

“有人的地方就有江湖,有数据库存在的地方就可能存在 SQL 注入漏洞。” 在所有漏洞类型中,SQL 注入可是说是危害最大最受大家关注的漏洞。简单说来,SQL 注入是通过在用户可控参数中注入SQL语法,破坏原有SQL结构,达到编写程序时意料之外结果的攻击行为。

[Web安全漏洞之SQL注入]

摘要

 “有人的地方就有江湖,有数据库存在的地方就可能存在 SQL 注入漏洞。”

    在所有漏洞类型中,SQL 注入可是说是危害最大最受大家关注的漏洞。简单说来,SQL 注入是通过在用户可控参数中注入SQL语法,破坏原有SQL结构,达到编写程序时意料之外结果的攻击行为。


Sql的注入原理及分类:

注入原理:

        SQL注射能使攻击者绕过认证机制,完全控制远程服务器上的数据库。 SQL是结构化查询语言的简称,它是访问数据库的事实标准。目前,大多数Web应用都使用SQL数据库来存放应用程序的数据。几乎所有的Web应用在后台 都使用某种SQL数据库。跟大多数语言一样,SQL语法允许数据库命令和用户数据混杂在一起的。如果开发人员不细心的话,用户数据就有可能被解释成命令, 这样的话,远程用户就不仅能向Web应用输入数据,而且还可以在数据库上执行任意命令了。

       SQL注入式攻击的主要形式有两种。一是直接将代码插入到与SQL命令串联在一起并使得其以执行的用户输入变量。上面笔者举的例子就是采用了这种方法。由于其直接与SQL语句捆绑,故也被称为直接注入式攻击法。二是一种间接的攻击方法,它将恶意代码注入要在表中存储或者作为原书据存储的字符串。在存储的字符串中会连接到一个动态的SQL命令中,以执行一些恶意的SQL代码。注入过程的工作方式是提前终止文本字符串,然后追加一个新的命令。如以直接注入式攻击为例。就是在用户输入变量的时候,先用一个分号结束当前的语句。然后再插入一个恶意SQL语句即可。由于插入的命令可能在执行前追加其他字符串,因此攻击者常常用注释标记“—”来终止注入的字符串。执行时,系统会认为此后语句位注释,故后续的文本将被忽略,不背编译与执行。


注入分类:

 1、数字型和字符型

 2、回显注入、报错注入、盲注

 3、post注入、get注入、cookie注入

数字型和字符型:

当发生注入点的参数为整数时,比如 ID,num,page等,这种形式的就属于数字型注入漏洞。同样,当注入点是字符串时,则称为字符型注入,字符型注入需要引号来闭合。

回显注入

可以直接在存在注入点的当前页面中获取返回结果。报错注入:程序将数据库的返回错误信息直接显示在页面中,虽然没有返回数据库的查询结果,但是可以构造一些报错语句从错误信息中获取想要的结果。

盲注

程序后端屏蔽了数据库的错误信息,没有直接显示结果也没有报错信息,只能通过数据库的逻辑和延时函数来判断注入的结果。根据表现形式的不同,盲注又分为based boolean和based time两种类型。


注入测试:

image.png


 假如语句是:select 字段名 from 表名 where id = 1;如果如上图几个测试步骤结果全部满足,就可能存在sql注入漏洞。

     数字型注入一般出现在asp php等弱类型语言中,弱类型语言会自动推导变量类型,例如,参数id=1,PHP会自动把ID的数据类型推导为int类型,若是 id=1 and 1=1,则把ID推导为string类型。但是对于Java、c#这类强类型语言,如果把一个字符串转换为int类型,则会抛出异常,无法运行,所以数字型注入一般出现在弱类型的语言当中,强类型语言很少存在。


Sql的注入的危害:

 1、数据库信息泄漏:数据库中存放的用户的隐私信息的泄露。

 2、网页篡改:通过操作数据库对特定网页进行篡改。

 3、网站被挂马,传播恶意软件:修改数据库一些字段的值,嵌入网马链接,进行挂马攻击。

 4、数据库被恶意操作:数据库服务器被攻击,数据库的系统管理员帐户被窜改。

 5、服务器被远程控制,被安装后门。经由数据库服务器提供的操作系统支持,让黑客得以修改或控制操作系统。

 6、破坏硬盘数据,瘫痪全系统。

Sql的注入的防御方法:

  1、数据校验

  2、权限限制

  3、日志处理


数据校验:

1 字符串长度验证,仅接受指定长度范围内的变量值。sql注入脚本必然会大大增加输入变量的长度,通过长度限制,比如用户名长度为 8 到 20 个字符之间,超过就判定为无效值。
2. 对单引号和双"-"、下划线、百分号等sql注释符号进行转义
3. 对接收的参数进行类型格式化,如id参数值获取后,进行int类型转换
4. 永远不要使用动态拼装SQL,推荐使用参数化的SQL或者直接使用存储过程进行数据查询存取。sql注入最主要的攻击对象就是动态拼装的SQL,通过参数化查询可以极大减少SQL注入的风险。
5. 永远不要使用管理员权限的数据库连接(sa、root、admin),为每个应用使用单独的专用的低特权账户进行有限的数据库连接
6. 不要把机密信息明文存放,请加密或者hash掉密码和敏感的信息。这样对方就算获取到整个表的数据内容,也没什么价值。
7. 应用的异常信息应该给出尽可能少的提示,最好使用自定义的错误信息对原始错误信息进行包装,把异常信息输出到日志而不是在页面中展示。
8. 做好XSS跨站攻击的防护,防止攻击者伪造管理员信息进入系统后台
9. 不管客户端是否做过数据校验,在服务端必须要有数据校验(长度、格式、是否必填等等)

权限限制:

 严格限制Web应用的数据库的操作权限,给此用户提供仅仅能够满足其工作的最低权限,从而最大限度的减少注入攻击对数据库的危害。**请记住永远不要使用超级用户或所有者帐号去连接数据库!**当数据库被攻击时将损伤限制在当前表的范围是比较明智的选择。通过权限限制可以防止攻击者获取数据库其它信息,甚至利用数据库执行 Shell 命令等操作。

日志处理:

当数据库操作失败的时候,尽量不要将原始错误日志返回,比如类型错误、字段不匹配等,把代码里的 SQL 语句暴露出来,以防止攻击者利用这些错误信息进行 SQL 注入。除此之外,在允许的情况下,使用代码或数据库系统保存查询日志也是一个好办法。显然,日志并不能防止任何攻击,但定期审计数据库执行日志可以跟踪是否存在应用程序正常逻辑之外的 SQL 语句执行。日志本身没用,要查阅其中包含的信息才行。


转载: 感谢您对【忆莲池】网站平台的认可,非常欢迎各位朋友分享到个人站长或者朋友圈,但转载请说明文章出处【来源 忆莲池: http://www.yyii.info/article/44/8.html】。

文章评论

请君开口
欢迎您:
    • 最新评论(0)
    暂时没有评论
Top