SQL的注入式攻击方式和避免方法

SQL 注入是一种攻击方式,在这种攻击方式中,恶意代码被插入到字符串中,然后将该字符串传递到 SQL Server 的实例以进行分析和执行。任何构成 SQL 语句的过程都应进行注入漏洞检查,因为 SQL Server 将执行其接收到的所有语法有效的查询。

SQL 注入的主要形式包括直接将代码插入到与 SQL 命令串联在一起并使其得以执行的用户输入变量。一种间接的攻击会将恶意代码注入要在表中存储或作为元数据存储的字符串。在存储的字符串随后串连到一个动态 SQL 命令中时,将执行该恶意代码。

注入过程的工作方式是提前终止文本字符串,然后追加一个新的命令。由于插入的命令可能在执行前追加其他字符串,因此攻击者将用注释标记“--”来终止注入的字符串。执行时,此后的文本将被忽略。

以下脚本显示了一个简单的 SQL 注入。此脚本通过串联硬编码字符串和用户输入的字符串而生成一个 SQL 查询:

var Shipcity = Request.form. ("ShipCity");
var sql = "select * from OrdersTable where ShipCity = ‘" + ShipCity + "‘";用户将被提示输入一个市县名称。如果用户输入 Redmond,则查询将由与下面内容相似的脚本组成:

SELECT * FROM OrdersTable WHERE ShipCity = ‘Redmond‘

但是,假定用户输入以下内容:Redmond‘; drop table OrdersTable--

此时,脚本将组成以下查询:SELECT * FROM OrdersTable WHERE ShipCity = ‘Redmond‘;drop table OrdersTable--‘

分号 (;) 表示一个查询的结束和另一个查询的开始。双连字符 (--) 指示当前行余下的部分是一个注释,应该忽略。如果修改后的代码语法正确,则服务器将执行该代码。SQL Server 处理该语句时,SQL Server 将首先选择 OrdersTable 中的所有记录(其中 ShipCity 为 Redmond)。然后,SQL Server 将删除 OrdersTable。

只要注入的 SQL 代码语法正确,便无法采用编程方式来检测篡改。因此,必须验证所有用户输入,并仔细检查在您所用的服务器中执行构造 SQL 命令的代码。本主题中的以下各部分说明了编写代码的最佳做法。

验证所有输入
始终通过测试类型、长度、格式和范围来验证用户输入。实现对恶意输入的预防时,请注意应用程序的体系结构和部署方案。请注意,设计为在安全环境中运行的程序可能会被复制到不安全的环境中。以下建议应被视为最佳做法:

对应用程序接收的数据不做任何有关大小、类型或内容的假设。例如,您应该进行以下评估:

如果一个用户在需要邮政编码的位置无意中或恶意地输入了一个 10 MB 的 MPEG 文件,应用程序会做出什么反应?

如果在文本字段中嵌入了一个 DROP TABLE 语句,应用程序会做出什么反应?

测试输入的大小和数据类型,强制执行适当的限制。这有助于防止有意造成的缓冲区溢出。

测试字符串变量的内容,只接受所需的值。拒绝包含二进制数据、转义序列和注释字符的输入内容。这有助于防止脚本注入,防止某些缓冲区溢出攻击。

使用 XML 文档时,根据数据的架构对输入的所有数据进行验证。

绝不直接使用用户输入内容来生成 Transact-SQL 语句。

使用存储过程来验证用户输入。

在多层环境中,所有数据都应该在验证之后才允许进入可信区域。未通过验证过程的数据应被拒绝,并向前一层返回一个错误。

实现多层验证。对无目的的恶意用户采取的预防措施对坚定的攻击者可能无效。更好的做法是在用户界面和所有跨信任边界的后续点上验证输入。
例如,在客户端应用程序中验证数据可以防止简单的脚本注入。但是,如果下一层认为其输入已通过验证,则任何可以绕过客户端的恶意用户就可以不受限制地访问系统。

绝不串联未验证的用户输入。字符串串联是脚本注入的主要输入点。

在可能据以构造文件名的字段中,不接受下列字符串:AUX、CLOCK$、COM1 到 COM8、CON、CONFIG$、LPT1 到 LPT8、NUL 以及 PRN。

如果可能,拒绝包含以下字符的输入。

输入字符    在 Transact-SQL 中的含义 
       ;                查询分隔符。 
       ‘           字符数据字符串分隔符。 
      --               注释分隔符。 
  /* ... */      注释分隔符。服务器不对 /* 和 */ 之间的注释进行处理。 
      xp_         用于目录扩展存储过程的名称的开头,如 xp_cmdshell。
使用类型安全的 SQL 参数
SQL Server 中的 Parameters 集合提供了类型检查和长度验证。如果使用 Parameters 集合,则输入将被视为文字值而不是可执行代码。使用 Parameters 集合的另一个好处是可以强制执行类型和长度检查。范围以外的值将触发异常。以下代码段显示了如何使用 Parameters 集合:

SqlDataAdapter myCommand = new SqlDataAdapter("AuthorLogin", conn);
myCommand.SelectCommand.CommandType = CommandType.StoredProcedure;
SqlParameter parm = myCommand.SelectCommand.Parameters.Add("@au_id",
     SqlDbType.VarChar, 11);
parm.Value = Login.Text;在此示例中,@au_id 参数被视为文字值而不是可执行代码。将对此值进行类型和长度检查。如果 @au_id 值不符合指定的类型和长度约束,则将引发异常。

在存储过程中使用参数化输入
存储过程如果使用未筛选的输入,则可能容易受 SQL Injection 攻击。例如,以下代码容易受到攻击:

SqlDataAdapter myCommand =
new SqlDataAdapter("LoginStoredProcedure ‘" +
                               Login.Text + "‘", conn);如果使用存储过程,则应使用参数作为存储过程的输入。

在动态 SQL 中使用参数集合
如果不能使用存储过程,您仍可使用参数,如以下代码示例所示:

SqlDataAdapter myCommand = new SqlDataAdapter(
"SELECT au_lname, au_fname FROM Authors WHERE au_id = @au_id", conn);
SQLParameter parm = myCommand.SelectCommand.Parameters.Add("@au_id", SqlDbType.VarChar, 11);
Parm.Value = Login.Text;

筛选输入
筛选输入可以删除转义符,这也可能有助于防止 SQL 注入。但由于可引起问题的字符数量很大,因此这并不是一种可靠的防护方法。以下示例可搜索字符串分隔符。

private string SafeSqlLiteral(string inputSQL)
{
  return inputSQL.Replace("‘", "‘‘");
}LIKE 子句
请注意,如果要使用 LIKE 子句,还必须对通配符字符进行转义

s = s.Replace("[", "[[]");
s = s.Replace("%", "[%]");
s = s.Replace("_", "[_]"); 在代码中检查 SQL 注入应检查所有调用 EXECUTE、EXEC 或 sp_executesql 的代码。可以使用类似如下的查询来帮助您标识包含这些语句的过程。此查询检查单词 EXECUTE 或 EXEC 后是否存在 1 个、2 个、3 个或 4 个空格。

SELECT object_Name(id) FROM syscomments

WHERE UPPER(text) LIKE ‘%EXECUTE  (%‘

OR UPPER(text) LIKE ‘%EXECUTE  (%‘

OR UPPER(text) LIKE ‘%EXECUTE   (%‘

OR UPPER(text) LIKE ‘%EXECUTE    (%‘

OR UPPER(text) LIKE ‘%EXEC (%‘

OR UPPER(text) LIKE ‘%EXEC  (%‘

OR UPPER(text) LIKE ‘%EXEC   (%‘

OR UPPER(text) LIKE ‘%EXEC    (%‘

OR UPPER(text) LIKE ‘%SP_EXECUTESQL%‘

使用 QUOTENAME() 和 REPLACE() 包装参数
在选择的每个存储过程中,验证是否对动态 Transact-SQL 中使用的所有变量都进行了正确处理。来自存储过程的输入参数的数据或从表中读取的数据应包装在 QUOTENAME() 或 REPLACE() 中。请记住,传递给 QUOTENAME() 的 @variable 值的数据类型为 sysname,且最大长度为 128 个字符。

@variable                         建议的包装 
安全对象的名称              QUOTENAME(@variable) 
字符串 ≤ 128 个字符      QUOTENAME(@variable, ‘‘‘‘) 
字符串 > 128 个字符      REPLACE(@variable,‘‘‘‘, ‘‘‘‘‘‘)
使用此方法时,可对 SET 语句进行如下修改:

--Before:

SET @temp = N‘select * from authors where au_lname=‘‘‘

+ @au_lname + N‘‘‘‘

--After:

SET @temp = N‘select * from authors where au_lname=‘‘‘

+ REPLACE(@au_lname,‘‘‘‘,‘‘‘‘‘‘) + N‘‘‘‘

由数据截断启用的注入
如果分配给变量的任何动态 Transact-SQL 比为该变量分配的缓冲区大,那么它将被截断。如果攻击者能够通过将意外长度的字符串传递给存储过程来强制执行语句截断,则该攻击者可以操作该结果。

通过向 128 个字符的缓冲区传递 154 个字符,攻击者便可以在不知道旧密码的情况下为 sa 设置新密码。

EXEC sp_MySetPassword ‘sa‘, ‘dummy‘, ‘123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘‘

因此,应对命令变量使用较大的缓冲区,或直接在 EXECUTE 语句内执行动态 Transact-SQL。

使用 QUOTENAME(@variable, ‘‘‘‘) 和 REPLACE() 时的截断
如果 QUOTENAME() 和 REPLACE() 返回的字符串超过了分配的空间,该字符串将被自动截断。以下示例中创建的存储过程显示了可能出现的情况。

当您串联 sysname 类型的值时,应使用足够大的临时变量来保存每个值的最多 128 个字符。应尽可能直接在动态 Transact-SQL 内调用 QUOTENAME()。

SQL2008相关文章:

SQL 的注入式攻击

SQL Server 2008登录名的创建

SQL2008数据维护和管理

时间: 2024-10-09 17:30:37

SQL的注入式攻击方式和避免方法的相关文章

【2017-04-20】Sql字符串注入式攻击与防御

字符串攻击 所谓sql字符串注入式攻击就是在用户输入界面输入通过精心编制的含有某种指令的字符串,来改变C#中连接数据库要执行的sql语句,从而对数据库进行攻击性操作 在用户输入界面输入  a');update Student set Sname ='伊伊';-- 则数据库Sname一列都讲变为  伊伊 原理:用户输入的代码将c#中的sql语句中的sname替换掉了,就变成了下边的黑客想执行的sql语句. insert into Student values('"+sno+"','a')

DDoS攻击、CC攻击的攻击方式和防御方法

DDoS介绍 DDoS是英文Distributed Denial of Service的缩写,意即"分布式拒绝服务",那么什么又是拒绝服务(Denial of Service)呢?可以这么理解,凡是能导致合法用户不能够访问正常网络服务的行为都算是拒绝服务攻击.也就是说拒绝服务攻击的目的非常明确,就是要阻止合法用户对正常网络资源的访问,从而达成攻击者不可告人的目的.分布式拒绝服务攻击一旦被实施,攻击网络包就会从很多DOS攻击源(俗称肉鸡)犹如洪水般涌向受害主机,从而把合法用户的网络包淹没

web攻击方式和防御方法

在http请求报文中加载攻击代码,就能发起对web应用的攻击.通过url查询字段或者表单.http首部.cookie等途径吧攻击代码传入,若这时web应用存在安全漏洞,那内部信息就会遭到窃取! 对web的攻击模式有两种: 主动攻击(主动攻击服务器) 被动攻击(上传木马程序,用户访问时触发http陷阱) 实施的安全策略主要分为两步: 客户端验证 服务端验证(输入值验证,输出值转义) 两种主要的攻击方式 1.SQL注入攻击(php防止方法是使用mysqli_real_escape_string或者a

浅谈C#.NET防止SQL注入式攻击

1#region 防止sql注入式攻击(可用于UI层控制)  2  3///   4/// 判断字符串中是否有SQL攻击代码  5///   6/// 传入用户提交数据  7/// true-安全:false-有注入攻击现有:  8public bool ProcessSqlStr(string inputString)  9{ 10    string SqlStr = @"and|or|exec|execute|insert|select|delete|update|alter|create

防止sql注入式攻击 SQL注入学习——三层架构

解决方案是:1.首先在UI录入时,要控制数据的类型和长度.防止SQL注入式攻击,系统提供检测注入式攻击的函数,一旦检测出注入式攻击,该数据即不能提交:2.业务逻辑层控制,通过在方法内部将SQL关键字用一定的方法屏蔽掉,然后检查数据长度,保证提交SQL时,不会有SQL数据库注入式攻击代码:但是这样处理后,要求UI输出时将屏蔽的字符还原.因此系统提供屏蔽字符 的函数和还原字符的函数.3.在数据访问层,绝大多数采用存储过程访问数据,调用时以存储过程参数的方式访问,也会很好的防止注入式攻击. 3    

ADO.NET字符串注入式攻击与防御

一.字符串注入攻击 所谓sql字符串注入式攻击就是在用户输入界面输入一串sql语句,来改变C#中连接数据库要执行的sql语句 通过你写的程序,直接来执行我想要执行的sql语句 例如:在这么一个程序中,sname是需要用户输入的内容. 在用户输入界面输入 a');update 表名 set 列名 ='字段名称;-- 假如你在输入时输入了这句代码:a');update student set sname ='朱利军;-- 原理:用户输入的代码将c#中的sql语句中的sname替换掉了,就变成了下边的

JDBC编程之预编译SQL与防注入式攻击以及PreparedStatement的使用教程

在JDBC编程中,常用Statement.PreparedStatement 和 CallableStatement三种方式来执行查询语句,其中 Statement 用于通用查询, PreparedStatement 用于执行参数化查询,而 CallableStatement则是用于存储过程. 1.Statement       该对象用于执行静态的 SQL 语句,并且返回执行结果. 此处的SQL语句必须是完整的,有明确的数据指示.查的是哪条记录?改的是哪条记录?都要指示清楚.     通过调用

【JDBC】预编译SQL与防注入式攻击

在JDBC编程中,常用Statement.PreparedStatement 和 CallableStatement三种方式来执行查询语句,其中 Statement 用于通用查询, PreparedStatement 用于执行参数化查询,而 CallableStatement则是用于存储过程. 1.Statement       该对象用于执行静态的 SQL 语句,并且返回执行结果. 此处的SQL语句必须是完整的,有明确的数据指示.查的是哪条记录?改的是哪条记录?都要指示清楚.     通过调用

什么是SQL注入式攻击

什么是SQL注入式攻击? 所谓SQL注入式攻击,就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串,欺骗服务器执行恶意的SQL命令.在某些表单中,用户输入的内容直接用来构造(或者影响)动态SQL命令,或作为存储过程的输入参数,这类表单特别容易受到SQL注入式攻击.常见的SQL注入式攻击过程类如: ⑴ 某个ASP.NET Web应用有一个登录页面,这个登录页面控制着用户是否有权访问应用,它要求用户输入一个名称和密码. ⑵ 登录页面中输入的内容将直接用来构造动态的SQL命令,或者直