Question

用java编写防止SQL注入！求java高手指点！问题解决后，一定提高悬赏！

我从网上下载了一下代码！当我抄入我的程序是数据库一直抛出空指针！
public class SQLFilter implements Filter
{
private String inj_str = "'|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|; |or|-|+|,";
protected FilterConfig filterConfig = null;
/*Should a character encoding specified by the client be ignored? */
protected boolean ignore = true;
public void destroy(){}
public void init(FilterConfig config) throws ServletException
{
this.filterConfig = config;
this.inj_str = filterConfig.getInitParameter("keywords");
}
public void doFilter(ServletRequest request, ServletResponse response,FilterChain chain) throws IOException, ServletException
{
HttpServletRequest req = (HttpServletRequest)request;
HttpServletResponse res= (HttpServletResponse)response;
Iterator values = req.getParameterMap().values().iterator();//获取所有的表单参数
while(values.hasNext())
{
String[] value = (String[])values.next();
for(int i = 0;i < value.length;i++)
{
if(sql_inj(value[i]))
{
//TODO这里发现sql注入代码的业务逻辑代码
return;
}
}
}
chain.doFilter(request, response); //他的作用是将请求转发给过滤器链上下一个对象
}
public boolean sql_inj(String str)
{
String[] inj_stra=inj_str.split("\\|"); //split() 方法用于把一个字符串分割成字符串数组
for(int i=0 ; i < inj_stra.length ; i++ )
{
if(str.indexOf(" "+inj_stra[i]+" ")>=0) //输入的信息与inj_str所定义的元素进相比较, =>0表示已经注入的SQL语句
{
return true;
}
}
return false;
}
}
错误信息
java.lang.NullPointerException
security.SQLFilter.sql_inj(SQLFilter.java:52)
security.SQLFilter.doFilter(SQLFilter.java:41)
我输入了value的值，全都是乱码！求解！在线等！
我现在需要验证的是管理员的登陆，内容有编码与密码！

Answer 1

SQL注入无非就是把对单引号和双"-"进行转换。

最好不要拼装SQL语句，以使用参数化的sql或者直接使用存储过程进行数据查询存取。

追问

我就是那样做得！我现在就是想多掌握一点东西！在网上查一下，想试一下！我改了很长时间！还是空！您受累帮我看看！我会提高悬赏的！拜托了！

追答

52行是哪一行啊。。。。
if(str.indexOf(" "+inj_stra[i]+" ")>=0) //输入的信息与inj_str所定义的元素进相比较, =>0表示已经注入的SQL语句

这句是不是有问题啊
你试试写成if(str.indexOf(inj_stra[i])>=0)
我测了一下改正这样过滤方法就OK了

还是不行你先根据错误提示找到是哪一行报错，然后控制台打出来相关信息看对不对~~~试试看调试~~~~

追问

我已经照您说的改了！可还是不行！
java.lang.NullPointerException
at security.SQLFilter.sql_inj(SQLFilter.java:47)对应的代码：String[] inj_stra=inj_str.split("\\|")

at security.SQLFilter.doFilter(SQLFilter.java:36)对应的代码：if(sql_inj(value[i]))
您受累再帮忙看看！我实在找不出来是什么错误

追答

你在
String[] inj_stra=inj_str.split("\\|")
之前打印一下inj_str这个变量
看是不是null的，你是不是在
this.inj_str = filterConfig.getInitParameter("keywords");
这里没有取到值

追问

对，就像是您说的一样！inj_str为空，那怎么接受值呢！我是第一次Servlet类！请您赐教！

追答

public void init(FilterConfig config) throws ServletException
{
this.filterConfig = config;
this.inj_str = filterConfig.getInitParameter("keywords");
}

这行代码是做什么的，如果可以的话注释掉

Answer 2

你拆分字符串的时候, 不加\\ 只要| 试试. 还有,建议,不要把符号也写在字符里, 这个容易出问题. 再看看你的xml编码. 是不是支持中文

追问

照您的方法改了一下！还是不行！
还是报错：
security.SQLFilter.sql_inj(SQLFilter.java:46)
security.SQLFilter.doFilter(SQLFilter.java:35)
对应我程序的代码是：
if(sql_inj(value[i]))；
String[] inj_stra=inj_str.split("\\|"); //split() 方法用于把一个字符串分割成字符串数组
您受累再帮我看看一下！