249 lines
9.6 KiB
Markdown
249 lines
9.6 KiB
Markdown
---
|
||
title: SQL 注入攻击风险
|
||
author: Charles7c
|
||
date: 2021/12/11 22:51
|
||
categories:
|
||
- Bug万象集
|
||
tags:
|
||
- SQL
|
||
- 网络攻击
|
||
---
|
||
|
||
# SQL 注入攻击风险
|
||
|
||
## 前言
|
||
|
||
**C：** Java 开发者都知道，想要用 Java 连接关系型数据库进行操作，就要学习使用 java.sql 包下的一套 JDBC API，这套 API 的使用步骤，大致如下：
|
||
|
||
```java {30}
|
||
/**
|
||
* JDBC，模拟登录示例
|
||
*
|
||
* @author Charles7c
|
||
* @date 2021/12/11 22:51
|
||
*/
|
||
public class JdbcLoginDemo {
|
||
public static void main(String[] args) {
|
||
// 录入登录信息
|
||
Scanner input = new Scanner(System.in);
|
||
System.out.print("请输入用户名：");
|
||
String username = input.next();
|
||
System.out.print("请输入密码：");
|
||
String password = input.next();
|
||
|
||
// 查询数据库，验证登录信息
|
||
boolean loginResult = false;
|
||
Connection conn = null;
|
||
Statement statement = null;
|
||
ResultSet rs = null;
|
||
try {
|
||
// 1、注册驱动
|
||
Class.forName("com.mysql.jdbc.Driver");
|
||
// 2、获取连接
|
||
conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/school", "root", "root");
|
||
// 3、创建语句执行平台
|
||
statement = conn.createStatement();
|
||
// 4、编写SQL语句
|
||
// String sql = "SELECT * FROM `user` WHERE `username` = '" + username + "' AND `password` = '" + password + "'";
|
||
String sql = String.format("SELECT * FROM `user` WHERE `username` = '%s' AND `password` = '%s'", username, password);
|
||
// 5、执行SQL语句
|
||
rs = statement.executeQuery(sql);
|
||
// 6、解析结果集
|
||
if (rs.next()) {
|
||
loginResult = true;
|
||
}
|
||
} catch (Exception e) {
|
||
e.printStackTrace();
|
||
} finally {
|
||
// 7、释放资源，先开后关
|
||
try {
|
||
if (rs != null) {
|
||
rs.close();
|
||
}
|
||
if (statement != null) {
|
||
statement.close();
|
||
}
|
||
if (conn != null) {
|
||
conn.close();
|
||
}
|
||
} catch (SQLException e) {
|
||
e.printStackTrace();
|
||
}
|
||
}
|
||
|
||
// 输出登录结果
|
||
System.out.println(loginResult ? "登录成功！" : "登录失败！用户名或密码错误！");
|
||
}
|
||
}
|
||
```
|
||
|
||
上方是一个非常经典的 JDBC 模拟登录示例，同样的，很多同学可能一眼就看出来了，它存在着一个严重的攻击漏洞：SQL 注入攻击。
|
||
|
||
今天，咱们就一块来聊聊 SQL 注入（SQL Injection）这个东西。
|
||
|
||
## SQL 注入攻击简介
|
||
|
||
SQL 注入（SQL Injection）作为一种比较常见的网络攻击方式，在学习 JDBC 时就肯定会得到老师的重点提醒。它的出现原因就是因为开发者编写的 SQL 语句，采用拼接的方式来接受输入参数。
|
||
|
||
看看上方代码的第 4 步骤，一条 通过用户名和密码来查询用户记录 的简单查询 SQL，它在接受用户名和密码两个输入参数时，是直接拼接到查询 SQL 语句上的。
|
||
|
||
```java
|
||
// 下方两种形式都一样，笔者个人相对更喜欢使用格式化字符串而已
|
||
// String sql = "SELECT * FROM `user` WHERE `username` = '" + username + "' AND `password` = '" + password + "'";
|
||
String sql = String.format("SELECT * FROM `user` WHERE `username` = '%s' AND `password` = '%s'", username, password);
|
||
```
|
||
|
||
假设是一个正常的用户输入：
|
||
|
||
- 用户名：admin
|
||
- 密码：123456
|
||
|
||
那最终执行的查询 SQL 语句，如下：
|
||
|
||
```sql
|
||
SELECT * FROM `user` WHERE `username` = 'admin' AND `password` = '123456';
|
||
```
|
||
|
||
这倒是没什么问题，但是如果是一个攻击者恶意的输入：
|
||
|
||
- 用户名：luanShuDe（胡乱输入的）
|
||
- 密码：luanShuDe' OR '1' = '1（密码也是胡乱输入的，重点在后面部分）
|
||
|
||
那最终执行的查询 SQL 语句，如下：
|
||
|
||
```sql
|
||
SELECT * FROM `user` WHERE `username` = 'luanShuDe' AND `password` = 'luanShuDe' OR '1' = '1';
|
||
```
|
||
|
||
胡乱输入的用户名和密码肯定查询不到结果，但是密码后面的内容由于是 SQL 语法，直接拼接到查询 SQL 语句内，最终也是会执行的，1和1是恒等的，而 OR 运算符是只要一个条件满足，就匹配，所以结果就会查询出所有的用户记录。
|
||
|
||
这就导致本该登录失败的情况，却判定登录成功了！也就达成了一次相对简单的 SQL 注入攻击了。
|
||
|
||
## 解决方案
|
||
|
||
### JDBC 的 PreparedStatement
|
||
|
||
问题是要解决的，而且 JDBC 早就提供了相应的解决方法。那就是采用 Statement 的子接口 PreparedStatement，使用步骤如下：
|
||
|
||
::: tip 笔者说
|
||
|
||
Prepared 从单词意思上就知道是：准备好的，有准备的。
|
||
|
||
PreparedStatement 的对象包含了编译好的 SQL 语句。这种 “准备好” 的方式不仅能提高安全性，解决 SQL 注入问题，而且在多次执行同一个 SQL 时，无需再编译，能够提高效率。
|
||
|
||
:::
|
||
|
||
```java {27}
|
||
/**
|
||
* JDBC，模拟登录示例
|
||
*
|
||
* @author Charles7c
|
||
* @date 2021/12/11 22:51
|
||
*/
|
||
public class JdbcLoginDemo2 {
|
||
public static void main(String[] args) {
|
||
// 录入登录信息
|
||
Scanner input = new Scanner(System.in);
|
||
System.out.print("请输入用户名：");
|
||
String username = input.next();
|
||
System.out.print("请输入密码：");
|
||
String password = input.next();
|
||
|
||
// 查询数据库，验证登录信息
|
||
boolean loginResult = false;
|
||
Connection conn = null;
|
||
PreparedStatement ps = null;
|
||
ResultSet rs = null;
|
||
try {
|
||
// 1、注册驱动
|
||
Class.forName("com.mysql.jdbc.Driver");
|
||
// 2、获取连接
|
||
conn = DriverManager.getConnection("jdbc:mysql://localhost:3306/school", "root", "root");
|
||
// 3、编写SQL语句，使用 ? 进行参数占位
|
||
String sql = "SELECT * FROM `user` WHERE `username` = ? AND `password` = ?";
|
||
// 4、创建语句执行平台
|
||
ps = conn.prepareStatement(sql);
|
||
// 5、设置参数
|
||
ps.setString(1, username);
|
||
ps.setString(2, password);
|
||
// 6、执行SQL语句
|
||
rs = ps.executeQuery();
|
||
// 7、解析结果集
|
||
if (rs.next()) {
|
||
loginResult = true;
|
||
}
|
||
} catch (Exception e) {
|
||
e.printStackTrace();
|
||
} finally {
|
||
// 8、释放资源，先开后关
|
||
try {
|
||
if (rs != null) {
|
||
rs.close();
|
||
}
|
||
if (ps != null) {
|
||
ps.close();
|
||
}
|
||
if (conn != null) {
|
||
conn.close();
|
||
}
|
||
} catch (SQLException e) {
|
||
e.printStackTrace();
|
||
}
|
||
}
|
||
|
||
// 输出登录结果
|
||
System.out.println(loginResult ? "登录成功！" : "登录失败！用户名或密码错误！");
|
||
}
|
||
}
|
||
```
|
||
|
||
### MyBatis 的 #{}
|
||
|
||
在平时的开发中，我们基本上都在采用 ORM 框架来解决持久层问题，MyBatis 作为一个在国内常用的半自动 ORM 框架，底层就是对 JDBC 的封装，简化了大量模板化的代码。
|
||
|
||
如果你也使用了 MyBatis，那么在 SQL 语句传参时，一定要注意使用 #{} 的方式，它最终的实现就是 JDBC 的 PreparedStatement。
|
||
|
||
### 特殊符号检查过滤
|
||
|
||
MyBatis 还有一种 ${} 也可以来接受参数，但是这种方式最终就是直接在 SQL 语句中拼接输入参数，所以它存在 SQL 注入攻击的风险。
|
||
|
||
如果真的想用，可以采用对输入参数进行特殊符号检查过滤。检查过滤的代码，可参考如下：
|
||
|
||
```java
|
||
public class CheckUtils {
|
||
/**
|
||
* 校验条件参数不可包含特殊字符，并且小于255个字符
|
||
*
|
||
* @param 条件参数内容
|
||
* @throws Exception 具体错误信息
|
||
*/
|
||
public static void checkCondition(String param) throws Exception {
|
||
if (param != null) {
|
||
String regEx = "[`~!@#$%^&*+=|{}':;',\\[\\]<>?~！@#￥%……&*（）+|{}【】‘；：”“’。，、？]|\n|\r|\t";
|
||
Matcher matcher = Pattern.compile(regEx).matcher(param);
|
||
if (param.length() < 0 || param.length() > 255) {
|
||
throw new Exception("查询条件最长字符255！");
|
||
}
|
||
if (matcher.find()) {
|
||
throw new Exception("查询条件中不应包含特殊字符！");
|
||
}
|
||
}
|
||
}
|
||
}
|
||
```
|
||
|
||
当然了，笔者个人认为基本上能用 ${} 的地方都可以采用 #{} 替代。不过，倒也是见过一些同事在写代码时坚持用 ${} ，代码片段类似如下：
|
||
|
||
```sql
|
||
SELECT * FROM user WHERE username LIKE '%${username}%'
|
||
```
|
||
|
||
的确，LIKE 模糊查询时，后面模糊条件的 `%` 等符号是不能直接出现在 SQL 语句里的，而是要写在由 `'` （单引号）引起的字符串内。但是 MyBatis 的 `#{}` 又无法写在由 `'` （单引号）引起的字符串内，即无法直接写成 `'%#{username}%'` （如果你不相信，可以自行尝试一下，看看控制台会有什么 “惊喜” 输出），这应该就是这部分同事不得不采用 `'%${username}%'` 写法的原因。
|
||
|
||
好在，笔者这正好也提供一种解决方法，可以解决此问题，那就是使用 SQL 函数 CONCAT()，代码片段类似如下：
|
||
|
||
```sql
|
||
SELECT * FROM user WHERE username LIKE CONCAT('%', #{username}, '%')
|
||
```
|
||
|
||
没错，既然要拼接字符串，那就用 CONCAT() 函数，这个函数就是专门用来拼接字符串的，在拼接时可以使用 #{} ，所以也就不会存在 SQL 注入的问题了。 |