《Web安全程序设计与实践》课件项目5.pptxVIP

项目5更新密码——二阶注入攻击【项目描述】本项目对数据库二阶SQL注入攻击和防护进行实训。本项目包含三个任务，首先建立一个实现密码更新功能的网站，接下来利用更新密码功能的二阶SQL注入攻击实现对数据库中其它用户账号密码的修改，最后分析了二阶SQL注入攻击的原理并使用转义函数和参数化更新实现二阶注入防护。通过本项目的实训，可以解释和分析二阶SQL注入漏洞产生的原理及危害，能够应用转义处理或者参数化更新实现二阶SQL注入攻击的防护。【知识储备】二阶SQL注入原理一阶SQL注入发生在一个HTTP请求和响应中，对系统的攻击是立即执行的。比如万能密码攻击就是直接向数据库提交构造的特殊字符串进行注入攻击。但这种一阶注入攻击容易引起注意，通过添加转义函数或者参数化查询就可以封堵。与一阶注入不同，二阶SQL注入首先将攻击字符串输入保存在数据库中，然后攻击者提交第二次HTTP请求。为处理第二次的HTTP请求，应用程序需要检索存储在数据库中保存的输入并构造SQL语句。由于程序没有对存储在数据库中的内容进行防注入处理，于是发生了SQL注入攻击。更新密码与二阶注入攻击用户注册的特殊账号，会在更新密码的过程中引起二阶注入攻击。其原因在于更新密码密码的过程需要执行数据库记录的更新操作，即更新该账号对应的密码字段。如果数据库更新没有进行转义或者使用参数化，则用户名中的截断符号等则可以破坏正常的SQL更新语句执