利用信息摘要防御SQL Injection攻击.pdfVIP

· 网络与电子商务· 农业网络信息 2014年第2期 AGRrC 【￡肌 REⅣETWORK rⅣF0RMATION 利用信息摘要防御 SQLInjection攻击 张启宇 (中国农业大学烟台研究院，山东 烟台 264670) 摘 要：针对一些动态网站和应用程序的登陆界面存在的SQLInjection攻击，提出了利用信息摘要的解决方法。 关键词：SQLinjection攻击；信息摘要；MD5；SHA 中图分类号：TP315 文献标识码：A 文章编码 ：1672—6251(2014)02—0107—02 UsingMessageDigestAgainstSQL InjectionAttacks ZHANGQiyu Y(antaiAcademyofChinaAgricultureUniversity，ShandongYantai246670) Abstract：ThemethodofusingmessagedigesttosolveSQLInjectionattackswhichconsistedinsoftiedynamicwebsitesand loadinginterfaceofapplicationswasputforward． Keywords：SQLinjectionattacks；messagedigest；MD5；SHA 一 些应用程序和动态网站的用户登录界面 ，要求 作信息摘要算法 5，是计算机广泛使用的散列算法之 用户输入用户名和密码 ，系统把其提交给数据库服务 一 ， 又译摘要算法、哈希算法。它经MD2、MD3和 器来验证其合法性。如果系统把用户的输入放进 SQL MD4发展而来，诞生于20世纪90年代初 ，用于确保 语言找进行查询 ，那么用户就可以通过输入一些特殊 信息传输完整一致2[1。 的用户名和密码来跳过密码验证而达到入侵系统的目 它的作用是让大容量信息在用数字签名软件签署 的。即若程序 中的查询语句 的形式为 ：SELECT 私人密钥前被 “压缩”成一种保密的格式 (就是把一 FROM tablenameW HERE user=InputUsername AND 个任意长度的字节串变换成一定长的大整数)。不管 Password：InputPassword。耶么用户输入用户名：er． 是MD2、MD4还是MD5，它们都需要获得一个随机 roruseror～1=1，输入密码 ：errorPasswordor～1=1． 长度的信息并产生一个 128位的信息摘要，具有较高 则查询语句为 ：SELECT FROM tublenameWHERE 的安全 陛闭。主流编程语言普遍已有 MD5实现3[1。 user= erroruser or 1：1 ANDPassword=errorPass． 1．2 SHA算法 wordor～1=1。因为条件是永真式 ，所以就跳过用户 SHA (SecureHashAlgorithm，安全散列算法)是 名和密码的认证。若是系统管理员的权限被获得，那 一 种数据加密算法，是由美国国家安全局 (NSA)设 后果不堪设想。这就是SQIInjection攻击 [1_。消息摘要 计 ，美国国家标准与技术研究院 (NIST)发布的一系 是使用散列函数来创建摘要的算法，是原始数据的数 列密码散列函数。该算法经过加密专家多年来的发展 字指纹 ，被用来确认数据是否被修改过 ，同时还能加 和改进已日益完善 ，现在已成为公认的最安全的散列 密数