草丁图书馆

  1. 首页 > 生活杂烩 >

sql注入如何防止，有效防止sql注入的方法( 四 )

小知识



防护
归纳一下 ， 主要有以下几点：
1.永远不要信任用户的输入 。 对用户的输入进行校验 ， 可以通过正则表达式 ， 或限制长度；对单引号和
双"-"进行转换等 。
2.永远不要使用动态拼装sql ， 可以使用参数化的sql或者直接使用存储过程进行数据查询存取 。
3.永远不要使用管理员权限的数据库连接 ， 为每个应用使用单独的权限有限的数据库连接 。
4.不要把机密信息直接存放 ， 加密或者hash掉密码和敏感的信息 。
5.应用的异常信息应该给出尽可能少的提示 ， 最好使用自定义的错误信息对原始错误信息进行包装
6.sql注入的检测方法一般采取辅助软件或网站平台来检测 ， 软件一般采用sql注入检测工具jsky ， 网站平台就有亿思网站安全平台检测工具 。 MDCSOFT SCAN等 。 采用MDCSOFT-IPS可以有效的防御SQL注入 ， XSS攻击等 。
什么是sql注入？如何防止sql注入 1、在软件开发的时候 ， 直接规避sql注入攻击

2、购买防火墙 ， 态势感知等网络安全设备对这类行为进行拦截
SQL注入以及如何防止和索引 sql注入其实就是在这些不安全控件内输入sql或其他数据库的一些语句 ， 从而达到欺骗服务器执行恶意到吗影响到数据库的数据 。 防止sql注入 ， 可以在接受不安全空间的内容时过滤掉接受字符串内的“'” ， 那么他不再是一条sql语句 ， 而是一个类似sql语句的zifuc ， 执行后也不会对数据库有破坏 。
如：-----下面这一段是找的
username = request("username") //获取用户名 这里是通过URL传值获取的
password = request("password") //获取密码 也是通过URL传值获取的
sql="select * from userlist where username = '" & username & "' and password = '" & password & "'"--------如果某个人知道某个用户名是admin,常常有人网站的管理员用户名就是admin,这是密码可以选用'or 1 or ',
那么sql="select * from userlist where username = 'admin' and password = '' or 1 or ''" ， 显然1是恒真的 ， 那么验证密码就通过了 。 补充：
防止的方式比较多 ， 比如可以限制username,password中出现"'"这些字符 ， 一般网站都是只允许数字 ， 字符 ， 下划线的组合 ， 这可以通过javascript验证 。 也可以采取用存储过程代替sql拼接 ， 等等 。
什么叫sql注入 ， 如何防止sql注入 所谓SQL注入 ， 就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串 ， 最终达到欺骗服务器执行恶意的SQL命令 。 具体来说 ， 它是利用现有应用程序 ， 将（恶意）的SQL命令注入到后台数据库引擎执行的能力 ， 它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库 ， 而不是按照设计者意图去执行SQL语句 。 比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的 ， 这类表单特别容易受到SQL注入式攻击．
防护
归纳一下 ， 主要有以下几点：
1.永远不要信任用户的输入 。 对用户的输入进行校验 ， 可以通过正则表达式 ， 或限制长度；对单引号和
双"-"进行转换等 。
2.永远不要使用动态拼装sql ， 可以使用参数化的sql或者直接使用存储过程进行数据查询存取 。
3.永远不要使用管理员权限的数据库连接 ， 为每个应用使用单独的权限有限的数据库连接 。
4.不要把机密信息直接存放 ， 加密或者hash掉密码和敏感的信息 。

推荐阅读


上一篇：身上青一块紫一块 或是疾病的预警

下一篇：如何去死，最容易成功的死亡方法