基于SQL注入Web数据安全防范与优化.docVIP

基于SQL注入Web数据安全防范与优化 　　摘要：SQL注入利用数据库系统的安全漏洞，以及程序中的验证漏洞，构造合适的SQL语句，并通过正常的URL访问进行代码提交，获取数据库中的相关信息，从而实现网站攻击的目的。加强用户提交数据的合法性验证，是防止SQL注入的基本方法。而改善ASP中的Request函数，使其具有对一切用户数据进行合法验证的能力，是SQL注入威胁下，Web数据安全防范方法的最佳优化。 　　关键词：SQL注入；数据安全；防范；优化 　　中图分类号：TP309.5 文献标识码：A 文章编号：1009-3044（2014）10-2184-04 　　Abstract： Exploiting the security vulnerabilities of database system and validation vulnerabilities of the computer programs， SQL injection builds proper SQL statements， submit code by normal URL access and get relevant information from the database in order to achieve the goal of website attacks.It is the basic approach of preventing SQL injection to strengthen the legality verification while a user submits data. And under the SQL injection threat， it is the best optimization of web data safety precautions to improve the Request function of ASP so as to make it capable to verify the legality of all user data. 　　Key words： SQL-injection； data security； precaution； optimization 　　在当前各类网站建设或者基于Web平台的软件系统建设（以下统称网站）中，由于从事开发的人员的水平与经验，参差不齐，这就直接导致许多网站，都存在着一定程度上的安全隐患，给黑客的攻击留有可趁之机，严重威胁着网站的正常运行。尤其是如果采用SQL注入进行攻击的话，由于该方法灵活多变，对网站的安全性具有更高的考验。并且，这种注入是通过WWW端口实现的，跟对网站的web页面的正常访问是一样的，因此，这种注入还能绕过许多防火墙的监控，具有很强的隐蔽性。 　　各种原因使然，国内目前绝大部分的网站，都采用asp技术，以Access或者SQL-Server为数据库。因此，笔者以此为技术平台，分析SQL注入的安全威胁、防范对策以及深入的优化策略。 　　1 SQL注入的基本原理 　　所谓SQL注入，是指利用网站程序对用户输入数据的合法性验证中存在的漏洞，构造合适的SQL语句，并通过正常的URL访问提交此代码，从而获取并借肋网站数据库中的相关信息，达到攻击的目的。这种注入随着攻击者的SQL语句构造能力愈强，变化也愈巧妙，对网站的开发者在数据安全防范方面的意识与能力，挑战性也就愈强。 　　SQL注入通常有以下四个特征： 　　1）利用用户输入数据的合法性验证漏洞进行突破。这与许多黑客攻击直接利用服务器的安全漏洞进行网站攻击有本质的不同。 　　2）应变性强。能够根据不同的数据库结构，构造出不同的SQL语句，巧妙灵活； 　　3）相关的攻击代码，通过Web端口，伴随着正常的页面访问进行注入，不直接与防火墙或其它安全防范软件进行“硬接触”。 　　4）Access数据库与Sql-server数据库一个共同的特点：如果参与运算的数据的数据类型不正确，就先尝试进行数据类型转换，如果转换失败，会返回一个错误报告。SQL注入正是利用这个特点，故意提交一些错误类型的数据，“诱惑”数据库自觉犯错并报错，从而泄露了重要信息。这一点，也是SQL注入最重要的特征。 　　我们举例实际分析一下SQL注入的基本原理。我们设定网站的测试服务器地址为：http：//，测试的URL为：http：///art_detail.asp？id=8。 　　通过浏览器的地址栏输入以上URL，并在最后加上一个单引号，使其成为http：///art_detail.asp？id=8’，然后再次访问。这时，如果服务器在浏览器中返回以下信息： 　　Microsoft JET Da