安全漏洞问题6：SQL注入
1.1. 漏洞描述
SQL注入是指利用现有应用程序，将(恶意)的SQL命令注入到后台数据库引擎执行的攻击方法。
通常Web 应用程序在后端使用数据库，查询数据库的语言一般是 SQL（各大数据库供应商都有自己的不同版本）。Web 应用程序通常会获取用户输入（取自 HTTP 请求），将它并入 SQL 查询中，然后发送到后端数据库。接着应用程序便处理查询结果，有时会向用户显示结果。
如果应用程序对用户（攻击者）的输入处理不够安全，攻击者便可以利用SQL发起攻击。在此情况下，攻击者可以注入恶意的数据，当该数据并入 SQL 查询中时，将修改原来的查询语句使攻击者能进行敏感数据查询等恶意操作。
1.2. 漏洞危害
恶意攻击者可以利用实施SQL注入攻击造成以下危害：
查看、修改或删除数据库条目和表
篡改网页内容，网页挂马
查询用户的机密信息，包括账户，个人私密信息，交易信息等等
访问数据库系统表，查询数据库及承载服务器敏感信息
获取数据库访问权限，甚至获得DBA权限
运行各种操作系统命令，获取承载主机操作系统和网络的访问权限
1.3. 解决方案
针对SQL注入攻击的特点，可以从以下几个方面进行防范：
使用参数化方式进行查询
应尽可能避免使用拼接的动态SQL语句，而使用参数化方式进行查询。一段示例代码如下所示：
String user = request.getParameter("username");
String pass = request.getParameter("password");
String query = "SELECT id FROM users WHERE username=? AND password=?";
PreparedStatement stmt = con.prepareStatement(query);
stmt.setString(1, user);
stmt.setString(2, pass);
ResultSet rs = stmt.executeQuery();
if (rs.next())
{
// 登录成功
int id = rs.getInt(1);
...
}
else
{
// 登录失败
...
}
检查用户输入的有效性
必须在服务端验证用户输入的值和类型是否符合程序预期，一般需要验证以下内容：
必需字段
必需字段：检查字段不为空，并且其长度要大于零，不包括行距和后面的空格，一段示例代码如下所示：
// Java 示例-必需字段检查
public Class Validator {
...
public static boolean validateRequired(String value) {
boolean isFieldValid = false;
if (value != null && value.trim().length() > 0) {
isFieldValid = true;
}
return isFieldValid;
}
...
}
...
String fieldValue = request.getParameter("fieldName");
if (Validator.validateRequired(fieldValue)) {
// fieldValue is valid, continue processing request
...
}
字段数据类型
字段数据类型检查：检查输入字段类型是否符合预期，比如说所有 HTTP 请求参数或 cookie 值的类型都是“字符串”。
// Java 示例-验证数字字段类型
public Class Validator {
...
public static boolean validateInt(String value) {
boolean isFieldValid = false;
try {
Integer.parseInt(value);
isFieldValid = true;
} catch (Exception e) {
isFieldValid = false;
}
return isFieldValid;
}
...
}
// Java 示例-将HTTP 请求参数转换为其各自的数据类型
...
String fieldValue = request.getParameter("fieldName");
if (Validator.validateInt(fieldValue)) {
// convert fieldValue to an Integer
Integer integerValue = Integer.getInteger(fieldValue);
// store integerValue in a request attribute
request.setAttribute("fieldName", integerValue);
}
...
// Use the request attribute for further processing
Integer integerValue = (Integer)request.getAttribute("fieldName");
...
字段长度
字段长度检查：检查输入字段长度是否符合预期。
// Java 示例-userName 字段的长度是否在 8 至 20 个字符之间
public Class Validator {
...
public static boolean validateRange(int value, int min, int max) {
return (value >= min && value <= max);
}
...
}
...
String fieldValue = request.getParameter("numberOfChoices");
if (Validator.validateRequired(fieldValue)) {
if (Validator.validateInt(fieldValue)) {
int numberOfChoices = Integer.parseInt(fieldValue);
if (Validator.validateRange(numberOfChoices, 10, 20)) {
// numberOfChoices is valid, continue processing request
...
}
}
}
字段选项
字段选项检查：根据功能需求定义的受允许选项来验证选定的用户值。
// 字段选项示例
public Class Validator {
...
public static boolean validateOption(Object[] options, Object value) {
boolean isValidValue = false;
try {
List list = Arrays.asList(options);
if (list != null) {
isValidValue = list.contains(value);
}
} catch (Exception e) {
}
return isValidValue;
}
...
}
...
// Allowed options
String[] options = {"option1", "option2", "option3");
// Verify that the user selection is one of the allowed options
String userSelection = request.getParameter("userSelection");
if (Validator.validateOption(options, userSelection)) {
// valid user selection, continue processing request
...
}
字段模式
字段模式检查：检查用户输入与由功能需求定义的模式是否匹配。例如，使用以下正则表达式：^[a-zA-Z0-9]*$验证 userName 字段是否符合“仅允许字母数字字符，且不区分大小写，”
import org.apache.regexp.RE;
import org.apache.regexp.RESyntaxException;
public Class Validator {
...
public static boolean matchPattern(String value, String expression) {
boolean match = false;
if (validateRequired(expression)) {
RE r = new RE(expression);
match = r.match(value);
}
return match;
}
...
}
...
// Verify that the userName request parameter is alpha-numeric
String userName = request.getParameter("userName");
if (Validator.matchPattern(userName, "^[a-zA-Z0-9]*$")) {
// userName is valid, continue processing request
...
}
对用户输入进行过滤
在所有数据进入应用程序之前把可能的危险拦截。这些处理在服务器端完成。针对关键字和非法的HTML 代码等，可以编写函数对其进行检查或过滤。需要检查或过滤的特殊字符至少包含如下表字符：
特殊字符（不区分大小写） 关键字（不区分大小写）
|（竖线符号） and
& （& 符号） exec
;（分号） insert
$（美元符号） select
%（百分比符号） delete
@（at 符号） update
'（单引号） count
"（引号） chr
\'（反斜杠转义单引号） mid
\"（反斜杠转义引号） master
<>（尖括号） truncate
()（括号） char
+（加号） declare
CR（回车符，ASCII 0x0d） backup
LF（换行，ASCII 0x0a） script
,（逗号）
\（反斜杠）
（星号）
一段检查关键字的示例代码如下：
dim sql_injdata
SQL_injdata = "'|and|exec|insert|select|delete|update|count||%|chr|mid|master|truncate|char|declare|--|"
SQL_inj = split(SQL_Injdata,"|")
If Request.QueryString＜＞"" Then
For Each SQL_Get In Request.QueryString
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.QueryString(SQL_Get),Sql_Inj(Sql_DATA))＞0 Then
Response.Write "＜Script Language=**＞alert('参数中包含非法字符尝试注入！');history.back(-1)＜/Script＞"
Response.end
end if
next
Next
End If
If Request.Form＜＞"" Then
For Each Sql_Post In Request.Form
For SQL_Data=0 To Ubound(SQL_inj)
if instr(Request.Form(Sql_Post),Sql_Inj(Sql_DATA))＞0 Then
Response.Write "＜Script Language=**＞alert('参数中包含非法字符尝试注入! ');history.back(-1)＜/Script＞"
Response.end
end if
next
next
加固应用程序服务器和数据库，利用最低权限账户与数据库连接。
配置可信任的IP接入和访问（例如，IPSEC），以控制哪些机器能够与数据库服务器通信。
从数据库服务器上移除所有的示例脚本和应用程序。
不要使用sa、dba、admin等具备数据库DBA权限的账户，为每一个应用程序的数据库连接账户使用一个专用的最低权限权账户。如果应用程序仅需要读取访问，就要将数据库的访问限制为只读。
从生产数据库中移除未用的存储过程。
将对应用程序的访问仅授权给用户创建的存储过程。
禁止应用程序访问不必要的系统存储过程。
应用程序尽量使用存储过程，利用存储过程，将数据访问抽象化，让用户不直接访问表或视图。