结构化查询语言防范SQL注入.pptxVIP

防范SQL注入 一、SQL注入防范遵循Secure SDLC的原则编码阶段：安全编码规范测试阶段：代码审计、SQL注入测试部署阶段：数据库安全加固、WAF、IDS/IPS 二、安全编码要求1.对输入数据进行验证? 数字型：合法的数字；? 字符型：对’进行特殊处理；? 验证输入点：如Get，Post，Cookie以及其他HTTP头；2.使用符合规范的数据库访问语句? 正确使用静态查询语句，如PreparedStatement 三、SQL注入点测试工具检测手工测试SQL注入 四、代码审计代码审计内容： 前后台分离的运行架构 WEB服务的目录权限分类 认证会话与应用平台的结合 数据库的配置规范 SQL语句的编写规范 WEB服务的权限配置 对抗爬虫引擎的处理措施 五、数据库加固遵循“最小权限原则”禁止将任何高权限帐户（例如sa，dba等等）用于应用程序数据库访问。更安全的方法是单独为应用创建有限访问帐户。拒绝用户访问敏感的系统存储过程，如xp_dirtree,xp_cmdshell等。限制用户所能够访问的数据库表。谢谢观看