SQL注入入侵的特点、实现以及防范.pdfVIP

第3O卷 第3期 世界科技研究与发展 V0l_3O No．3 2008年6月 290—291页 WORLD SCI-TECH R＆D Jun．2008 PP．290—291 SQL注入入侵的特点、实现以及防范 袁沛沛 王 民 (西安建筑科技大学信息与控制工程学院，西安710055) 摘 要：本文针对网站的安全问题，主要介绍了对网站危害最大的攻击方法SQL注入入侵，分析其危害性，介绍SQL攻击的原理及 其实现过程，最后针对SQL攻击给出了具体的防范策略。 关键词：SQL注入攻击；网络安全；防范策略 中图分类号：TP309 文献标识码：A The Peculiarity，Realization and Prevention of SQL Injection Attacks YUAN Peipei WANG Min (College of Information＆Control，Xi’an University of Architecture＆Technology，Xi’an 710055) Abstract：The article expounds the theory of SQL injection and the harm it may cause to system security in detail，then analyzes the existing solutions to check it clearly，finally three advices are given to prevent it． Key words：SQL injection attacks；network security；preventive strategy 1 引言 要进行用户名或密码的猜测即可轻易进入系统。 3 SQL注入攻击的实现 随着B／S模式应用开发和ASP技术的发展，进入这个领 域程序员也越来越多。但是由于程序员的水平及经验参差 SQL注入攻击实现的主要步骤如图1所示。 不齐，相当大一部分程序员在编写代码的时候，没有对用户 输入数据的合法性进行判断，使应用程序存在安全隐患。用 户可以提交一段数据库查询代码，根据程序返回的结果，获 得某些其想得知的数据。SQL注入攻击主要是针对动态网 站，攻击者通过对服务器的数据注入，提交特殊代码，就可以 对服务器数据进行篡改、加载信息，还可以种植后门程序。 图1 注入攻击的主要步骤 当攻击者以超级用户访问服务器时，利用SQL注入攻击，就 Fig．1 The main process of SQL injection 可以控制整个服务器，严重影响网站的正常运行甚至导致网 3．1 对网页进行SQL注入 站崩溃。因此，研究注入攻击的应对策略对保障动态网站的 只有带有参数的动态网页且此网页访问了数据库，才有 信息安全具有重要意义。 可能存在SQL注入。SQL注入一般存在类似于：HrrI1P：／／ 2 SQL注入攻击的定义和特点 WWW．XXX．corn／ ．asp?id=XX等带有参数的ASP动态 网页中。但是一个动态网页中不一定仅仅只有一个参数，有 所谓SQL注入(SQL Injection)，就是入侵者利用程序员 时可能有好多个参数。 对用户输入数据的合法性检测不严或不检测的特点，故意从