智汇华云：Web常见安全漏洞分享

作者：佚名 2019-03-26 15:57:17

云计算 互联网时代数据信息瞬息万变，随之而来的是各种网络威胁、病毒等各种危害网络安全的行为，网络安全越来越受到大家的关注。华云数据本期“智汇华云”专栏将解析Web常见安全漏洞，与大家共同探讨数字时代的安全问题。

成都创新互联公司提供成都网站建设、成都网站设计、网页设计，品牌网站建设，广告投放等致力于企业网站建设与公司网站制作，10多年的网站开发和建站经验,助力企业信息化建设，成功案例突破近千家,是您实现网站建设的好选择.

互联网时代数据信息瞬息万变，随之而来的是各种网络威胁、病毒等各种危害网络安全的行为，网络安全越来越受到大家的关注。华云数据本期“智汇华云”专栏将解析Web常见安全漏洞，与大家共同探讨数字时代的安全问题。

SQL注入

1、什么是SQL注入?

SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将(恶意的)SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入(恶意)SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。

2、如何注入?

例子: http://test.com/info?id=1

此URL返回数据库某表的1条数据。程序中可能这么写的，ID为传入变量:

  
 
 
 

   
  
  
  
select * from user where id=‘”+id+“ ’; 
  
 
 
 

如上，那么查询语句将是

  
 
 
 

   
  
  
  
select * from user where id = ‘1’ 
  
 
 
 

如果 id= 1‘ or ’1‘=’1,那么查询语句将是

  
 
 
 

   
  
  
  
select * from user where id = ‘1’ or ‘1’=‘1’ 
  
 
 
 

3、SQL注入原因

①对提交的数据未过滤

②拼装SQL语句

③不当的类型处理

4、SQL注入防御

(1)字符串长度验证

仅接受指定长度范围内的变量值。sql注入脚本必然会大大增加输入变量的长度，通过长度限制，比如用户名长度为 8 到 20 个字符之间，超过就判定为无效值。

(2)对单引号和双"-"、下划线、百分号等sql注释符号进行转义

(3)不使用动态拼装SQL，使用参数化的SQL进行数据查询存取

代码示例：

  
 
 
 

   
  
  
  
String sql = "select id, no from user where id=?"; 
   
  
  
  
PreparedStatement ps  
   
  
  
  
= conn.prepareStatement(sql); 
   
  
  
  
ps.setInt(1, id); 
   
  
  
  
ps.executeQuery(); 
  
 
 
 

(4)框架防御： mybatis

① # 符号作用为 将传入的数据都当成一个字符串，会对自动传入的数据加一个双引号。

如：where user_id= #{id}

如果传入的值是111,那么解析成sql时的值为 where id ="111"

如果传入的值是 1’=or ’1’=‘1’ ，则解析成的sql为 whereid “1’=or ’1’=‘1’ “

②$ 符号则是将传入的数据直接生成在sql中。

如：where user_id= ‘${id}’

如果传入的值是111,那么解析成sql时的值为 where id =‘111’

如果传入的值是 1’=or ’1’=‘1’，则解析成的sql为 where _id =‘1’or ’1’=1’

结论：# 符号能够防止SQL注入， $符号无法防止SQL注入，$ 符号一般用于传入数据库对象，例如传入表名

XSS

1、什么是XSS?

往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到实施威胁的特殊目的

2、XSS分类

(1)持久性的XSS(存储在服务器端，威胁行为将伴随着威胁数据一直存在)

(2)非持久性的XSS(一次性的，仅对当次的页面访问产生影响)

例子：将参数传递至页面输出

参数写法：

  
 
 
 

   
  
  
  
index?value= 
  
 
 
 

页面和JS写法：