专业网站建设B/S软件开发专业微信营销专业技术建设团队做客户满意度最高的软件公司
郑州网站建设、郑州网站开发
 

阻止或减轻SQL注入攻击实用招数

作者:网站建设出处:学众科技发布时间:2020年06月11日点击数:885

SQL注入攻击对企业安全形成巨大潜在威胁。一旦这种攻击得逞,黑客可利用这种攻击危害你的网络并访问破坏你的数据,甚至控制你的电脑。

什么是SQL注入?

SQL注入的原理十分简单。当应用把客户数据当作一种输入的时候,那些心怀不轨的人就有机会注入刻意编写的数据,这些数据会导致输入行为会成为SQL查询的一部分。

SQL注入是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令,比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的,这类表单特别容易受到SQL注入式攻击。

当应用程序使用输入内容来构造动态sql语句以访问数据库时,会发生sql注入攻击。如果代码使用存储过程,而这些存储过程作为包含未筛选的用户输入的字符串来传递,也会发生sql注入。sql注入可能导致攻击者使用应用程序登陆在数据库中执行命令。如果应用程序使用特权过高的帐户连接到数据库,这种问题会变得很严重。在某些表单中,用户输入的内容直接用来构造(或者影响)动态sql命令,或者作为存储过程的输入参数,这些表单特别容易受到sql注入的攻击。而许多网站程序在编写时,没有对用户输入的合法性进行判断或者程序中本身的变量处理不当,使应用程序存在安全隐患。这样,用户就可以提交一段数据库查询的代码,根据程序返回的结果,获得一些敏感的信息或者控制整个服务器,于是sql注入就发生了。

例如,以下列代码为例:

SELECT * FROM Users WHERE Username='$username' AND Password='$password'

该代码旨在展示用户列表的用户名和密码记录。使用Web界面,当系统提示输入用户名和密码的时候,黑客可能会输入:

1 or 1=1

1 or 1=1

结果是:

SELECT * FROM Users WHERE Username='1' OR '1' = '1' AND Password='1' OR '1' = '1'

黑客已经将OR条件成功注入验证过程。更糟糕的是,条件'1' = '1'通常为真,因此这个SQL查询往往会导致黑客绕过验证过程。

用类似“;”的符号将另一个查询附加到已有查询之后(此附加查询还对一部分已有查询进行解释)。黑客可能删除你的整个列表,甚至更改其中的数据。黑客可以用命令来控制你的操作系统,从而操控你的电脑,并将之作为攻击你其他网络的一个中间站。总而言之,SQL注入攻击可带来以下后果:

数据私密性的丧失

数据完整性的丧失

数据泄漏

损害整个网络

沙澧街