首页 爱情文章 亲情文章 友情文章 生活随笔 校园文章 经典文章 人生哲理 励志文章 搞笑文章 心情日记
  • 爱情文章
  • 亲情文章
  • 友情文章
  • 生活随笔
  • 校园文章
  • 经典文章
  • 人生哲理
  • 励志文章
  • 搞笑文章
  • 心情日记
  • 英语文章
  • 范文大全
  • 作文大全
  • 新闻阅读
    •
    当前位置: 山茶花美文网 > 亲情文章 > 正文

    使用参数化查询防止SQL注入漏洞_防止sql注入的方法

    时间：2020-02-18来源：山茶花美文网 本文已影响 人 山茶花美文网手机站

    SQL注入的原理

    以往在Web应用程序访问数据库时一般是采取拼接字符串的形式，比如登录的时候就是根据用户名和密码去查询：

    string sql = "SELECT TOP 1 * FROM [User] WHERE UserName = "" + userName + "" AND Password = "" + password + """;

    其中userName和password两个变量的值是由用户输入的。在userName和password都合法的情况下，这自然没有问题，但是用户输入是不可信的，一些恶意用户只要用一些技巧，就可以绕过用户名、密码登录。

    假设password的值是"1" or "1" = "1"，userName的值随便取，比如是"abc"，那变量sql的值就是：

    "SELECT TOP 1 * FROM [User] WHERE UserName = "abc" AND Password = "1" or "1" = "1""

    由于"1" = "1"恒为真，因此只要User表中有数据，不管UserName、Password的值是否匹配，这条SQL命令准能查出记录来。就这样，登录系统就被破解了。

    以往的防御方式

    以前对付这种漏洞的方式主要有三种：

    字符串检测：限定内容只能由英文、数字等常规字符，如果检查到用户输入有特殊字符，直接拒绝。但缺点是，系统中不可避免地会有些内容包含特殊字符，这时候总不能拒绝入库。 字符串替换：把危险字符替换成其他字符，缺点是危险字符可能有很多，一一枚举替换相当麻烦，也可能有漏网之鱼。 存储过程：把参数传到存储过程进行处理，但并不是所有数据库都支持存储过程。如果存储过程中执行的命令也是通过拼接字符串出来的，还是会有漏洞。 参数化查询

    近年来，自从参数化查询出现后，SQL注入漏洞已成明日黄花。

    参数化查询（Parameterized Query 或 Parameterized Statement）是访问数据库时，在需要填入数值或数据的地方，使用参数 (Parameter) 来给值。

    在使用参数化查询的情况下，数据库服务器不会将参数的内容视为SQL指令的一部份来处理，而是在数据库完成SQL指令的编译后，才套用参数运行，因此就算参数中含有指令，也不会被数据库运行。Access、SQL Server、MySQL、SQLite等常用数据库都支持参数化查询。

    在ASP程序中使用参数化查询

    ASP环境下的参数化查询主要由Connection对象和Command对象完成。

    Access数据库只支持匿名参数，在传入参数的位置用问号代替即可。SQL Server数据库虽然支持匿名和非匿名的参数，但是在ASP中也仅能使用匿名参数。

    var conn = Server.CreateObject("ADODB.Connection");

    conn.ConnectionString = "Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" + Server.MapPath("Test.mdb");

    conn.Open();

    var cmd = Server.CreateObject("ADODB.Command");

    cmd.ActiveConnection = conn;

    cmd.CommandType = 1;

    cmd.CommandText = "SELECT TOP 1 * FROM [User] WHERE UserName = ? AND Password = ?";

    cmd.Parameters.Append(cmd.CreateParameter("@UserName", 200, 1, 20, "user01"));

    cmd.Parameters.Append(cmd.CreateParameter("@Password", 200, 1, 16, "123456"));

    var rs = cmd.Execute();

    Response.Write(rs("UserId").value);

    rs.Close();

    conn.Close();

    在ASP.NET程序中使用参数化查询

    ASP.NET环境下的查询化查询也是通过Connection对象和Command对象完成。如果数据库是SQL Server，就可以用有名字的参数了，格式是“@”字符加上参数名。

    SqlConnection conn = new SqlConnection("server=(local)SQL2005;user id=sa;pwd=12345;initial catalog=TestDb");

    conn.Open();

    SqlCommand cmd = new SqlCommand("SELECT TOP 1 * FROM [User] WHERE UserName = @UserName AND Password = @Password");

    cmd.Connection = conn;

    cmd.Parameters.AddWithValue("UserName", "user01");

    cmd.Parameters.AddWithValue("Password", "123456");

    SqlDataReader reader = cmd.ExecuteReader();

    reader.Read();

    int userId = reader.GetInt32(0);

    reader.Close();

    conn.Close();

    MySQL的参数格式与SQL Server有点区别，是以“?”加上参数名。

    MySqlConnection conn = new MySqlConnection("server=127.0.0.1;uid=root;pwd=12345;database=test;");

    conn.Open();

    MySqlCommand cmd = new MySqlCommand("SELECT * FROM `User` WHERE UserName = ?UserName AND Password = ?Password LIMIT 1");

    cmd.Connection = conn;

    cmd.Parameters.AddWithValue("UserName", "user01");

    cmd.Parameters.AddWithValue("Password", "123456");

    MySqlDataReader reader = cmd.ExecuteReader();

    reader.Read();

    int userId = reader.GetInt32(0);

    reader.Close();

    conn.Close();

    • 使用参数化查询防止SQL注入漏洞_防止sql注入的方法 相关文章:
    • 爱情文章
    • 亲情文章
    • 友情文章
    • 随笔
    • 哲理
    • 励志
    • 范文大全

    最新文章

    热点文章

    推荐访问

    军训远足心得体会 军训爬山心得体会 大学军训徒步拉练感想 军训徒步作文 军训徒步10公里感想 军训徒步心得体会 5分钟演讲中秋节节日 中秋一分钟演讲 中秋节演讲稿4分钟 中秋节演讲稿一分钟 中秋节演讲稿五分钟 3-5分钟 中秋节短篇演讲稿 中秋节演讲稿两分钟 中秋节的演讲稿3分钟 关于中秋节的演讲稿三分钟 孩子体验军训的心得 参加孩子军训活动的感受与收获 家长对孩子军训后的收获和感悟 小孩军训的收获与感悟 学生军训的收获与感悟 孩子军训成长过程家长感悟 孩子军训感悟 孩子军训心得体会 孩子军训的收获与感悟 兵役前训练心得体会 部队当兵的心得 新兵役前教育训练心得体会 预备役军训心得体会 新兵军训感悟

    本文使用参数化查询防止SQL注入漏洞_防止sql注入的方法由山茶花美文网整理提供，版权归原作者、原出处所有。

    Copyright © 山茶花美文网 All Rights Reserved.