如何从根本上防止 SQL 注入
展开全部
也许可以这样回答你,如果能保证应用不使用“用户输入的字符串”来拼接成为 “向SQL 服务器发送的SQL执行字符串” 的话,就可以从根本上防止SQL注入。
一、SQL语言的机理:
1、当前主流的几大数据库服务器的数据存、取、汇总控制,都使用一种文本语句“SQL”语句。
2、当客户端需要数据,或需要发送数据,或需要汇总数据时,都可以向数据库发送这种标准的描述性文本,比如向数据库发送 “select * from bas1.dbo.tab1”就是告诉数据库,我要取“数据库bas1”中的“tab1”表中的 所有字段(用“*”通配来代表)的所有记录(因为没有加限制条件)。
二、产生SQL注入的基础:
1、如果客户端设计者没有关注SQL注入方面的问题,就有可能在将用户输入进行拼接成SQL语句,并发送到服务器端时,产生恶意的SQL可执行语句。
2、举例说明:某个网页上有个修改用户密码口令的功能,正常情况下下,用户输入原口令,与将要改成的口令,然后对用户进行修改。用户正常情况下输入简单的字串作为口令,比如“abcdef”,最终,合成向服务器发送的语句可能为:
update UserTab set password = 'abcdef' where id=222
3、然而,有个人很淘气,它输入的字串为
abcdef' --
那么,合成的发送给服务器的语句就成了:
update UserTab set password = 'abcdef' --‘ where id=222
这条句语一但发向服务器,其结果是,所有的人的密码都将变成 abcdef。
4、当然了,上面只是举了一个例子,以便于你理解什么是SQL注入。
(绝大多数应用的口令字串都是要进行加密的,所以,这个例子起仅在:
初级用户写的,明文存密码,没有注意SQL注入。这些条件合适时才起作用。)
5、同理,你可以想出很多的相关的东西,比如在修改用户姓名的地方……
三、防止SQL注入的一些办法:
1、客户端接收到用户输入后,进行一次核查,不让用户输入能产生SQL歧义的字符。比如禁止使用任何英文符号作为密码、姓名等等。
2、尽可能减少用户的直接字符的输入,通配查询,等。
一、SQL语言的机理:
1、当前主流的几大数据库服务器的数据存、取、汇总控制,都使用一种文本语句“SQL”语句。
2、当客户端需要数据,或需要发送数据,或需要汇总数据时,都可以向数据库发送这种标准的描述性文本,比如向数据库发送 “select * from bas1.dbo.tab1”就是告诉数据库,我要取“数据库bas1”中的“tab1”表中的 所有字段(用“*”通配来代表)的所有记录(因为没有加限制条件)。
二、产生SQL注入的基础:
1、如果客户端设计者没有关注SQL注入方面的问题,就有可能在将用户输入进行拼接成SQL语句,并发送到服务器端时,产生恶意的SQL可执行语句。
2、举例说明:某个网页上有个修改用户密码口令的功能,正常情况下下,用户输入原口令,与将要改成的口令,然后对用户进行修改。用户正常情况下输入简单的字串作为口令,比如“abcdef”,最终,合成向服务器发送的语句可能为:
update UserTab set password = 'abcdef' where id=222
3、然而,有个人很淘气,它输入的字串为
abcdef' --
那么,合成的发送给服务器的语句就成了:
update UserTab set password = 'abcdef' --‘ where id=222
这条句语一但发向服务器,其结果是,所有的人的密码都将变成 abcdef。
4、当然了,上面只是举了一个例子,以便于你理解什么是SQL注入。
(绝大多数应用的口令字串都是要进行加密的,所以,这个例子起仅在:
初级用户写的,明文存密码,没有注意SQL注入。这些条件合适时才起作用。)
5、同理,你可以想出很多的相关的东西,比如在修改用户姓名的地方……
三、防止SQL注入的一些办法:
1、客户端接收到用户输入后,进行一次核查,不让用户输入能产生SQL歧义的字符。比如禁止使用任何英文符号作为密码、姓名等等。
2、尽可能减少用户的直接字符的输入,通配查询,等。
推荐律师服务:
若未解决您的问题,请您详细描述您的问题,通过百度律临进行免费专业咨询