Web的脆弱性：各种注入、攻击

随着Web2.0、社交网络、微博等等一系列新型的互联网产品的诞生，基于Web环境的互联网应用越来越广泛，企业信息化的过程中各种应用都架设在Web平台上，Web业务的迅速进展也引起黑客们的强烈关注，接踵而至的就是Web安全威胁的凸显，对Web服务器的攻击可以说是形形色色、种类繁多，常见的有挂马、SQL注入、XSS跨站脚本攻击等。

SQL注入 所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

通过一下的例子更形象的了解SQL注入：

有一个Login画面，在这个Login画面上有两个文本框分别用来输入用户名和密码，当用户点了登录按钮的时候，会对输入的用户名和密码进行验证。验证的SQL语句如下：

select * from student where username='输入的用户名' and password='输入的密码'

如果能够检索到数据，说明验证通过，否则验证不通过。

如果用户在用户名文本框中输入 ' or '1' = '1' or '1' = '1，则验证的SQL语句变成：

select * from student where username='' or '1' = '1' or '1' = '1' and password=''

如果用户在密码文本框中输入 1' or '1' = '1，则验证的SQL语句变成：

select * from student where username='' and password='1' or '1'='1'

以上两个SQL语句的where条件永远是成立的，所以验证永远是有效的。

如果在用户名文本框中输入tom' ;drop table student-- ，则SQL语句变成：

[sql] view plaincopyprint?

1.select * from student where username='tom' ;drop table student--' and password=''

这样就变成的两条SQL语句，执行完查询操作，接着直接把student表给删除了(双连接符表示注释)

如何防止SQL注入： 1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度;对单引号和双"-"进行转换等。

2.永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。

3.永远不要使用治理 员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。

4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。

5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装。

6.采纳一些工具或网络平台检测是否存在SQL注入。

OS命令注入 OS命令注入和SQL注入差不多，只不过SQL注入是针对数据库的，而OS命令注入是针对操作系统的。OS命令注入即能够在服务器上执行任意命令。

如何防止OS命令注入：

1.不要调用外部程序。举个例子，在UNIX系统上，有一个叫CGI的程序，可以执行sendmail命令来发送邮件。也许你的web应用程序也有发送邮件的功能，通过直接调用CGI程序发送邮件非常的简单，但是不要这样做，因为在执行sendmail命令的同时，也会混杂进其他OS命令，正确的做法是使用发送邮件的library。

2.过滤调、;，[，]，　，<，>，\之类的符号。

3.设置用户的权限。