SQL注入深層次剖析

標籤：

1. sql 注入的原因

sql注入的原因，表面上說是因為 拼接字串，構成sql語句，沒有使用 sql語句先行編譯，綁定變數。

但是更深層次的原因是，將使用者輸入的字串，當成了 “sql語句” 來執行。

比如上面的 String sql = "select id,no from user where id=" + id;

我們希望使用者輸入的 id 的值，僅僅作為一個字串字面值，傳入資料庫執行，但是當輸入了： 2 or 1=1 時，其中的 or 1=1 並沒有作為 where id= 的字面值，而是作為了 sql語句 來執行的。所以其本質是將使用者的輸入的資料，作為了命令來執行。

3. sql注入的防禦

1> 基本上大家都知道 採用sql語句先行編譯和綁定變數，是防禦sql注入的最佳方法。但是其中的深層次原因就不見得都理解了。

        String sql = "select id, no from user where id=?";        PreparedStatement ps = conn.prepareStatement(sql);        ps.setInt(1, id);        ps.executeQuery();

如上所示，就是典型的採用 sql語句先行編譯和綁定變數 。為什麼這樣就可以防止sql 注入呢？

其原因就是：採用了PreparedStatement，就會將sql語句："select id, no from user where id=?" 預先編譯好，也就是SQL引擎會預先進行文法分析，產生文法樹，產生執行計畫，也就是說，後面你輸入的參數，無論你輸入的是什麼，都不會影響該sql語句的 文法結構了，因為文法分析已經完成了，而文法分析主要是分析sql命令，比如 select ,from ,where ,and, or ,order by 等等。所以即使你後面輸入了這些sql命令，也不會被當成sql命令來執行了，因為這些sql命令的執行， 必須先的通過文法分析，產生執行計畫，既然文法分析已經完成，已經先行編譯過了，那麼後面輸入的參數，是絕對不可能作為sql命令來執行的，只會被當做字串字面值參數。所以sql語句先行編譯可以防禦sql注入。

2> 但是不是所有情境都能夠採用 sql語句先行編譯，有一些情境必須的採用 字串拼接的方式，此時，我們嚴格檢查參數的資料類型，還有可以使用一些安全函數，來方式sql注入。

比如 String sql = "select id,no from user where id=" + id;

在接收到使用者輸入的參數時，我們就嚴格檢查 id，只能是int型。複雜情況可以使用Regex來判斷。這樣也是可以防止sql注入的。

安全函數的使用，比如：

        MySQLCodec codec = new MySQLCodec(Mode.STANDARD);        name = ESAPI.encoder().encodeForSQL(codec, name);        String sql = "select id,no from user where name=" + name;

ESAPI.encoder().encodeForSQL(codec, name)

該函數會將 name 中包含的一些特殊字元進行編碼，這樣 sql 引擎就不會將name中的字串當成sql命令來進行文法分析了。

註：

實際項目中，一般我們都是採用各種的架構，比如ibatis, hibernate,mybatis等等。他們一般也預設就是sql先行編譯的。對於ibatis/mybatis，如果使用的是 #{name}形式的，那麼就是sql先行編譯，使用 ${name} 就不是sql先行編譯的。

SQL注入深層次剖析