eSafe白帽駭客資安網-網絡安全背後的巨人,提供駭客,網站入侵測試,網站被駭,網站漏洞,駭客入侵,資訊安全,入侵,ecshop,wordpress,漏洞修復,木馬清除,資安服務

如何防止SQL注入攻擊 php java安全部署

   

         SQL注入攻擊(SQL injection)是目前網站安全以及主機安全層面上是最具有攻擊性,危害性較高,被駭客利用最多的一個漏洞,基本上針對於網站代碼,包括JAVA JSP PHP ASP apache tomcat 語言開發的代碼都會存在sql注入漏洞。

 
隨著JAVA JSP架構的市場份額越來越多,許多平台都使用JAVA開發,本文通過對sql注入的詳細分析,從代碼層面以及主機層面,根本上來防止sql注入攻擊。
 
 
SQL注入漏洞的原理很簡單,通俗來講:就是程序員在編寫網站代碼的時候,一些執行數據庫命令的代碼,程序員沒有認真寫以及認真過濾,導致可以將外部的惡意參數拼接到SQL語句當中去,直接傳入到數據庫中去執行,導致駭客可以執行一些查詢用戶賬戶密碼,修改信息,執行系統命令的安全操作。
 
 
下面我們來搭建一個JAVA環境的網站,設計一個可以查詢用戶信息的一個api 服務接口,我們採用的都是springboot + jersey 來搭建我們的web服務查詢框架。
 
數據庫是Mysql 架構的,建立一個新的數據庫表:admin,然後創建管理員賬戶跟密碼(採用md5加密方式),這樣我們的用戶信息有了,就可以提供查詢了。我們把springboot + jersey框架服務搭建起來,然後寫一下查詢的代碼到框架裡。eSafe白帽資安網公司是一家專注於:主機安全、網站安全、網站安全檢測、網站漏洞修復,滲透測試,安全服務於一體的網絡安全服務提供商。
 
我們再來測試下查詢的接口,是否可以正常輸出:
 
通過網站進行get請求提交,Web服務接口返回200並輸出了用戶名為admin的管理員賬戶以及密碼。這樣的輸出是屬於正常的,但是我們在網站端發送一條帶有逗號的GET請求,會發現報錯了。
 
You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ''xxxx''' at line 1。
 
也就是說上面的查詢是錯誤的,因為我們添加了一個逗號在裡面,導致傳入到數據庫並執行的同時,數據庫返回的錯誤提示。
 
SQL注入詳情解析:
 
GET的網站時候參數的時候,傳入了一個String類型的name參數值,並且通過字符串聯起來,構建了數據庫的查詢語句。在正常操作的情況下,用戶會傳入合法的name參數值進行數據庫查詢,但是攻擊者會編造一些惡意的參數,只要參數通過字符串拼接後依然是一句合法的SQL查詢,此時SQL注入就發生了。正如我們上文輸入的name=xxxx'or'a'='a與我們接口中的查詢語句進行拼接後構成如下SQL語句:
 
 
 
當接口執行name=xxxx'or'a'='a這個SQL語句後,系統後台也就相當於免費的送給駭客了,駭客一看到管理員密碼這個hash,都不用去cmd5解密了,攻擊者就會直接使用123456這個密碼去登錄網站的後台管理系統。為什麼?因為123456的md5哈希太常見了,這就是很多JAVA網站的現實,在網站安全以及弱口令方面簡直做的不忍直視。eSafe白帽資安網公司是一家專注於:主機安全、網站安全、網站安全檢測、網站漏洞修復,滲透測試,安全服務於一體的網絡安全服務提供商。
好了,現在我們應該明白了,SQL Injection原因就是由於傳入的參數與系統的SQL拼接成了合法的SQL而導致的,而其本質還是將用戶輸入的數據當做了代碼執行。在系統中只要有一個SQL注入點被駭客發現,那麼駭客基本上可以執行任意想執行的SQL語句了,例如添加一個管理員,查詢所有表,修改用戶密碼等等。
 
以上是對sql注入攻擊的詳情,下文會詳細的介紹,如何去防範sql注入的攻擊,知彼知己才能百戰不殆。瞭解了sql的攻擊原理,才能更好去防禦sql注入攻擊。
 
網站安全需要精心雕琢,主機安全是100 - 1 = 0的業務,即使你防禦了99%的攻擊,那還不算勝利,只要有一次網站被入侵了,那就有可能給公司帶來很嚴重的損失跟後果。如果不懂網站防SQL攻擊的的話,也可以找專業的安全公司來部署防sql注入攻擊部署,國內安全公司像綠盟、esafe.tw、在安全方面都是做的比較不錯的。
 
分享: