浅谈SQL注入攻击与防范.pdf

中国西部科技 2010年01月 (中旬 )第09卷第O2期总第199期 浅谈SQL注入攻击与防范 谢栋梁 (增城市新塘医院信息科，广东 增城 511540) 摘 要：sQL注入攻击是黑客对数据库进行攻击的常用手段之一，本文详细讨论 了sQL注入技术及其攻击原理 ，并给 出了 常见的一些sQL注入攻击防范方法。 关键词：SQL；注入攻击；原理；防范 l 引言 安全意识，不进行必要的字符过滤，存在SOL注入的可能性 在计算机技术高速发展的今天，越来越让人们头疼的 就非常大 。 是面临越来越 “变态”和复杂的威胁网站技术，他们利用 为了全面了解动态网页回答的信息，第一步请调整 Internet执行各种恶意活动。目前越来越多的网站正受到 IE的配置。把IE菜单一工具-Internet选项一高级一显示友 SOL注入攻击，许多公共网站，包括政府，教育部门，非政 好HTTP错误信息前面的勾去掉。否则，不论服务器返回什 府组织的慈善机构，以及一些企业都遭受到了SOL注入的攻 么错误，IE都只显示为HTTP5o0服务器错误，不能获得更 击，网站不能正常访 问；若干包含恶意 (Script)代码被加 多的提示信息。 入到网站的数据库中，当用户访 问这些可信站点时，浏览 为了把 问题说明清楚，以http：／／wWw．aaa．COm为例， 器会被指向包含恶意代码的网站，此时用户计算机系统内 在 网站 的某个页面 上 ，有一个链 接 ，地址 为 ：http： 的防病毒系统可能会报警。如果用户计算机系统存在可被 ／／wWw．aaa．com／bbb．asp?id=49，我们在这个地址后面加上 利用的安全漏洞，同时并未安装有效的防病毒系统，攻击 单引号’，服务器会返回下面的错误提示： 者可能在用户 电脑上运行更多的恶意代码，从而导致用户 MicrosoftJETDatabaseEngine错误 ’80040e14’ 电脑被控制。 字符串的语法错误在查询表达式 ’ID=49”中 2 何谓SQL注入 ／bbb．asp，行8 随着B／s模式应用开发的发展，使用这种模式编写应用 从这个错误提示我们能看出下面几点：①网站使用的 程序的程序员也越来越多。但是由于这个行业的入 门门槛 是Access数据库，通过JET引擎连接数据库 ，而不是通过 不高，程序员的水平及经验也参差不齐，相当大一部分程 ODBC。②程序没有判断客户端提交的数据是否符合程序要 序员在编写代码的时候，没有对用户输入数据的合法性进 求。③该SQL语句所查询的表中有一名为ID的字段。 行判断，使应用程序存在安全隐患。用户可以提交一段数 从上面 的例子我们可以知道 ，SOL注入的原理，就是从 据库查询代码，根据程序返回的结果，获得某些他想得知 客户端提交特殊的代码，从而收集程序及服务器的信息， 的数据，这就是所谓的SOLInjection，~PSQL注入。 从而获取你想得到的资料。 SOL注入是从正常的www端 口访 问，而且表面看起来跟 4 SQL注入攻击的防范 一 般的Web页面访问没什么区别，所 以目前市面的防火墙都 由于越来越多的攻击利用了SOL注入技术，也随之产生 不会对SOL注入发出警报，如果管理员没查看IIS日志的习 了很多SOL注入攻击防范方法，总结起来有下面一些： 惯，可能被入侵很长时间都不会发觉。 (1)在服务端正式处理之前对提交数据的合法性进行 但是，SOL注入的手法相当灵活，在注入的时候会碰到 检查。这是最根本的解决方案，在