什么是 sql 注入以及如何避免？-凯发app官方网站

sqli 是一种代码注入技术，可使攻击者修改应用程序向数据库提供的查询。 迄今为止，{banned}最佳常见和{banned}最佳严重的网络应用 程序安全威胁总是隐藏在与数据库有某些连接的网络应用 程序中。 通过这种 sql 注入，攻击者可以绕过登录程序，获取、更改甚至更新数据库，执行管理程序，或进行其他变种操作。

了解 sql 注入

要解释什么 是 ，就必须了解 sql 的一些基本原理。 事实上，它已成为处理和虚拟操作这些数据库的通用语言。 它用于查询、插入、更新和删除数据库记录，几乎所有网络应用程序都使用它来访问数据库；它可以在 php、 python、 java、 pia utah vpn 和 . net中编写 。

在网络应用程序中，用户需要通过表单、搜索框或 url 等方式在系统中输入信息，所有这些输入信息通常都用于动态构建 sql 查询。 这是因为，如果用户输入的 sql 查询字符串没有经过适当的检查和消毒，攻击者就可以通过在预期的 sql 查询字符串中注入恶意 sql 语句来改变 sql 查询字符串的性质。

sql 注入示例

举例来说，在登录一个典型的网络应用程序时，用户需要输入用户名和密码。 用来验证凭据的实际 sql 查询如下：

select * from users where username = 'user_input' and password = 'password_input';

如果应用程序直接使用用户的输入值而不进行任何消毒处理，攻击者就可以输入类似这样的内容。

• 用户名：' or '1'='1
• 密码：' or '1'='1

由此产生的 sql 查询将是

select * from users where username = '' or '1'='1' and password = '' or '1'='1';

这样，攻击者就能绕过验证码，畅通无阻地访问系统 。

左侧部分（sql 注入类型）	右侧部分（sql 注入的后果）
经典 sql 注入：恶意用户修改输入以转换有效的 sql 语句。	数据盗窃：攻击者还可以窃取敏感数据，如用户凭证、信用卡号和其他个人信息。
盲 sql 注入：黑客通过观察应用程序的行为，即使没有得到直接响应，也能找出查询结构。	数据操纵：攻击者有能力更改或删除信息，从而导致数据可靠性问题。
基于错误的 sql 注入：攻击者利用数据库显示的错误信息泄露信息。	身份验证绕过：攻击者可在未经授权的情况下访问系统。
基于时间的 sql 注入：攻击者根据应用程序的响应时间推断查询结构。	拒绝服务（dos）：攻击者可通过复杂的查询使数据库超载，导致用户无法使用应用程序。
	完全数据库控制：在极端情况下，攻击者可以获得对数据库的完全控制权，从而导致系统完全崩溃。

阻止 sql 注入的方法

为防止 sql 注入，您需要遵循编码准则、正确管理数据库并实施安全措施。以下是一些降低 sql 注入风险的策略：

1.使用预处理语句（参数化查询）

预处理语句确保用户输入纯粹作为数据处理，而不是作为 sql 命令的组成部分。
这种方法允许数据库区分 sql 查询结构和数据本身，确保任何输入都不能修改查询结构。

例如，在 php 中使用 pdo（php 数据对象）：

$stmt = $pdo->prepare('select * from users where username = :username and password = :password');
$stmt->execute(['username' => $username_input, 'password' => $password_input]);

在本例中，:username和:password是用户输入的占位符，它们会被用户提供的实际值安全地替代。数据库引擎将输入作为纯数据处理，因此任何恶意输入都不会造成危害。

2.输入验证和消毒

始终对用户输入进行验证和消毒，确保其符合预期格式。例如，如果输入应该是一个整数，那么在处理之前就应该检查数据类型。

在 python 中，您可能会使用正则表达式来验证输入：

import re
def validate_input(user_input):
    if re.match("^[a-za-z0-9_] $", user_input):
        return true
    else:
        return false

该功能只允许使用字母数字字符和下划线，从而降低了 sql 注入的风险。

3.使用 orm（对象关系映射）库

orm 库抽象了数据库交互，允许开发人员使用编程语言语法与数据库交互，而不是直接使用 sql 查询。
通过自动安全地处理查询构造，这一抽象本质上可防止。

例如，在django（一种 python 网络框架）中，你不需要编写原始 sql，而是像这样与数据库交互：

user = user.objects.get(username=user_input)

django 的 orm 可自动处理查询结构并防止 sql 注入。

4.限制数据库权限

只授予应用程序必要的{banned}最佳低数据库权限。如果应用程序不需要删除记录，就不要授予它delete权限。这种{banned}最佳小权限原则可以减少攻击者发现 sql 注入漏洞时造成的破坏。

5.使用网络应用防火墙（waf）

waf 可以在恶意输入到达应用程序之前将其过滤掉，从而检测并阻止常见的 sql 注入尝试。waf 是一个额外的安全层，是对编码实践的补充。

6.错误处理和报告

避免向{banned}最佳终用户显示详细的数据库错误信息。相反，在服务器端记录这些错误，并向用户显示通用错误信息。这种做法可以防止攻击者深入了解你的数据库结构。

在 .net 中，您可以使用 try-catch 块来处理 sql 错误：

try
{
    // database operations
}
catch (sqlexception ex)
{
    // log error details
    logger.log(ex);
    // show a generic message to the user
    response.write("an error occurred. please try again later.");
}

7.定期安全审计和渗透测试

应定期进行安全审计和渗透测试，以发现 sql 注入漏洞tip disableusercodeexecution()。自动漏洞扫描仪和由安全专家进行的手动评估可以揭示存在的问题，即使在运行顺利的情况下也是如此。

8.使用特定数据库的安全功能

大多数较新的数据库系统都有针对 sql 注入的安全措施。它实现了比关系模型更多的功能，如用于进行更严格查询处理的存储过程（就 mysql 而言）。

一些关于sql的api清单

结论

sql 注入对安全构成风险，可能导致数据泄露和系统受损。要减轻这种威胁，必须遵循编码规范，有效验证输入，并安全地管理数据库。

开发人员应始终考虑用户输入的可能性。采取措施应对潜在风险。利用语句、orm 库和其他保护策略，开发人员可以构建可抵御 sql 注入攻击的应用程序。
定期进行安全评估和随时更新新出现的漏洞，在建立对这一普遍威胁的防御方面发挥了作用。

原文链接：https://www.explinks.com/blog/what-is-sql-injection-and-how-can-it-be-avoided/