導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

SQL注入攻擊原理及安全防范措施研究

文檔作者：趙偉文檔來源：燕山大學(xué)里仁學(xué)		點擊數(shù)：	更新時間： 2023年03月20日
下載地址：點擊這里	文件大?。?101.60 KB 共1頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內(nèi)容預(yù)覽 [文件共1頁]

本文件共1頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?01.60 KB 共1頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：計算機(jī)網(wǎng)絡(luò)安全防范措施探討

上一篇： SQL數(shù)據(jù)庫的構(gòu)建與安全性維護(hù)技術(shù)方案研究

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

SQL注入攻擊原理及安全防范措施研究
趙偉
(燕山大學(xué)里仁學(xué)院河北秦皇島066004)
摘要：sQI。注入就是攻擊者通過正常的WEB頁面，把自己SQL代碼傳入到應(yīng)用程序中，從而通過執(zhí)行非程序員預(yù)期的SQL代
碼，達(dá)到竊取數(shù)據(jù)或破壞的目的。隨著網(wǎng)絡(luò)產(chǎn)業(yè)的迅猛發(fā)展，基于B／S模式的網(wǎng)絡(luò)應(yīng)用越來越普及，在這些網(wǎng)絡(luò)程序中，如果
不對網(wǎng)頁中用戶提交的數(shù)據(jù)進(jìn)行合法性判斷和過濾，就可能導(dǎo)致安全隱患，惡意的瀏筧者可以通過提交精心構(gòu)造的數(shù)據(jù)庫查
詢代碼，這就是所謂SQL注入。
關(guān)鍵詞：SQL 注入數(shù)據(jù)安全數(shù)據(jù)庫
中圖分類號：TP3 文獻(xiàn)標(biāo)識碼：A 文章編號：1007-9416(20II)04--0121--01
1、前言
隨著網(wǎng)絡(luò)產(chǎn)業(yè)的迅猛發(fā)展，基于B／s模
式(即瀏覽器／J]i￡務(wù)器模式)的網(wǎng)絡(luò)應(yīng)用越來
越普及，這些w曲站點大多使用web腳本語
言后臺數(shù)據(jù)庫系統(tǒng)開發(fā)，在這些網(wǎng)絡(luò)程序
中，如果不對網(wǎng)頁中用戶提交的數(shù)據(jù)進(jìn)行合
法性判斷和過濾，就可能導(dǎo)致安全隱患，黑
客可以通過提交構(gòu)造好的數(shù)據(jù)庫查詢代碼，
得到返同信息，通過返回結(jié)果獲的網(wǎng)站的敏
感信息，這就是所謂SQL注人。SQL注人攻
擊不僅可能使我們敏感的數(shù)據(jù)庫信息被非
法瀏覽、修改或刪除，甚至可能使我們的服
務(wù)器被黑客控制，成為“砧板上的肉雞”。
2、SQL注入原理
SQL注入就是攻擊者通過正常的WEB
頁面，把自己SQL代碼傳人到應(yīng)用程序中，
從而通過執(zhí)行非程序員預(yù)期的SQL代碼，達(dá)
到竊取數(shù)據(jù)或破壞的目的。
應(yīng)用程序通過具有高權(quán)限的賬號連接
數(shù)據(jù)庫，將產(chǎn)生注入風(fēng)險。數(shù)據(jù)庫的某些表
中，用戶可以直接通過輸入指令來構(gòu)造sQL
命令，或者構(gòu)造存儲過程的參數(shù)，使得這些
表單存在SQL注入風(fēng)險。而很多網(wǎng)站程序在
開發(fā)時，并沒有對用戶的輸人進(jìn)行有效行、
合法性的驗證或者程序自身的算法中沒有
過多的考慮限制因素，使得應(yīng)用程序存在很
多安全漏洞。黑客可以通過提交一段特定代
碼，得到程序的返回結(jié)果，進(jìn)而獲得網(wǎng)站的
敏感的信息或者控制整個服務(wù)器。
3．SQL注入的一般步驟
3．1尋找注入點
檢測是否存在注入漏洞直接的方法是
在要提交的參數(shù)后面添加單引號，如果存在
注入漏洞則程序會因此終止執(zhí)行，返回錯誤
提示。
以下地方應(yīng)重點檢測：(1)Web頁表單的
某字段。(2)通過URL傳遞參數(shù)的鏈接。(3)通
過Cookie存儲并提供服務(wù)器的參數(shù)。(4)頁
面的隱藏表單中。
3．2收集信息
在進(jìn)行下一步的攻擊之前，了解目標(biāo)系
統(tǒng)的輸出機(jī)制、SQL的查詢方式、數(shù)據(jù)庫類
型、用戶權(quán)限及數(shù)據(jù)庫與操作系統(tǒng)之間的交
互層次等是非常必要的。取得目標(biāo)服務(wù)器的
系統(tǒng)版本號，在成功注入字符串后，分析其
WEB程序的運行：返回出錯頁面或改變頁
面的顯示內(nèi)容。
3．3通過“1--I”獲取數(shù)據(jù)庫內(nèi)部結(jié)
構(gòu)
要得到數(shù)據(jù)庫的內(nèi)部結(jié)構(gòu)，可以通過”
HAVING I=I”語句來遍歷表中所有的列。
’group by columnnames having I=l語
句使UNION對每列使用sum 0函數(shù)，可以
進(jìn)一步確定各列的數(shù)據(jù)類型。
3．4提取數(shù)據(jù)
得到表中各列后，通過構(gòu)造SQI』便可輕
松獲得數(shù)據(jù)內(nèi)容，通過將某列字符類型與整
數(shù)類型相比較來得到所有數(shù)據(jù)。例如：http：
／／localhost／checkuser．a(chǎn)sp?id=admin。
％20and％20pwd=1％20一一&amp;amp;pwd---tes
tpwd將得到全部的數(shù)據(jù)字段，通過構(gòu)造SO
L語句，可以把用戶名和密碼讀出到一個表
的列中，然后再把該列和整數(shù)類型比較，通
過分析錯誤信息得所有數(shù)據(jù)。
3．5擴(kuò)大范圍
到此入侵者將嘗試擴(kuò)大攻擊范圍．將已
經(jīng)成功入侵的主機(jī)作為媒介，入侵網(wǎng)絡(luò)中其
它的主機(jī)。在MS SQL Server可以通過“sele
ct}from sysservers”語句查詢已連接到此
服務(wù)器的主機(jī)，使用OPENROWSET命令
映射這些主機(jī)?；蛘邚谋镜厣蟼髂抉R或攻擊
程序到目標(biāo)主機(jī)，遠(yuǎn)程執(zhí)行命令控制主機(jī)。
4、數(shù)據(jù)庫注入的防范措施
4．1區(qū)分普通用戶與系統(tǒng)管理員
用戶的權(quán)限
權(quán)限設(shè)計時，授予終端用戶基本權(quán)限，
使其沒有數(shù)據(jù)庫對象的建立、刪除等權(quán)限。
即使終端用戶執(zhí)行惡意指令，由于權(quán)限的限
制，這些代碼也無法執(zhí)行。
4．2使用參數(shù)化語句
編寫SQL語句時，用戶的輸入將不直接
變?yōu)镾QL執(zhí)行語句。而是變?yōu)閰?shù)來傳遞，
可以有效的防止SQL注入攻擊。另外用戶輸
入的內(nèi)容也必須進(jìn)行過濾。使用參數(shù)化的語
句傳遞用戶的輸入變量。參數(shù)化語句不直接
將用戶的輸入直接嵌入到sQL語句中。通過
這種方法，可以防止大部分的SQL注入攻
擊。
4．3用戶輸入的驗證
防治SQL注入攻擊有兩種方法，一是對
用戶輸入的內(nèi)容進(jìn)行檢查與驗證；二是使用
參數(shù)化語句來傳遞用戶的輸入內(nèi)容。檢驗輸
入變量的內(nèi)容，過濾非法內(nèi)容。拒絕變量包
含二進(jìn)制數(shù)、轉(zhuǎn)義序列和注釋字符等。
利用存儲過程也可以實現(xiàn)過濾輸入變
量。在程序允許的情況下，禁止數(shù)據(jù)庫包含
如分號、分隔符、注釋分隔符等字符。過濾這
些特殊符號后，即使攻擊者在SQLi吾句中嵌
入了惡意代碼，也將無法執(zhí)行。
4．4使用數(shù)據(jù)庫自帶的安全參數(shù)
為了減少注入式攻擊對于SQL Server
數(shù)據(jù)庫的不良影響，sQL Sel-ver數(shù)據(jù)庫中設(shè)
計了相一些相對安全的SQL參數(shù)。在數(shù)據(jù)庫
的設(shè)計過程中，程序員要盡量多使用這些現(xiàn)
成的參數(shù)來防止惡意能／SQI．注入攻擊。
4．5使用專業(yè)的漏洞掃描工具尋
找漏洞
通過漏洞掃描工具，可以使管理員找到
可能被存在注入漏洞的點。通過不斷更新漏
洞掃描T具，可以幫助管理員找到最新的漏
洞，使管理員可以采取積極的措施來預(yù)防S
QL注入攻擊。如果攻擊者使用的掃描程序
無法掃描到SQL注入漏洞，那么攻擊者也無
從下手。
5、結(jié)語
SQL注入攻擊主要是因應(yīng)用程序開發(fā)
過程中編程不嚴(yán)密而造成，使得攻擊者可以
通過有效手段進(jìn)行攻擊。要防止此類事情發(fā)
生，就要求網(wǎng)站程序開發(fā)人員和系統(tǒng)管理員
必須提高安全防范意識，了解SQL注入攻
擊的方法和防范方式，盡可能減少系統(tǒng)程序
漏洞，提高數(shù)據(jù)庫系統(tǒng)的安全性。
Digital technology and application數(shù)字技術(shù)與應(yīng)用1 21 萬方數(shù)據(jù)

網(wǎng)友評論 more

綜合安全論文最新內(nèi)容

05-04