分类： 嵌入式
2024-08-23 09:13:40
SQLi 是一种代码注入技术，可使攻击者修改应用程序向数据库提供的查询。 迄今为止，{BANNED}最佳常见和{BANNED}最佳严重的网络应用 程序安全威胁总是隐藏在与数据库有某些连接的网络应用 程序中。 通过这种 SQL 注入，攻击者可以绕过登录程序，获取、更改甚至更新数据库，执行管理程序，或进行其他变种操作。
要解释什么 是 SQL 注入 ，就必须了解 SQL 的一些基本原理。 事实上，它已成为处理和虚拟操作这些数据库的通用语言。 它用于查询、插入、更新和删除数据库记录，几乎所有网络应用程序都使用它来访问数据库；它可以在 PHP、 Python、 Java、 PIA Utah VPN 和 . NET中编写 。
在网络应用程序中，用户需要通过表单、搜索框或 URL 等方式在系统中输入信息，所有这些输入信息通常都用于动态构建 SQL 查询。 这是因为，如果用户输入的 SQL 查询字符串没有经过适当的检查和消毒，攻击者就可以通过在预期的 SQL 查询字符串中注入恶意 SQL 语句来改变 SQL 查询字符串的性质。
举例来说，在登录一个典型的网络应用程序时，用户需要输入用户名和密码。 用来验证凭据的实际 SQL 查询如下：
SELECT * FROM users WHERE username = 'user_input' AND password = 'password_input';
如果应用程序直接使用用户的输入值而不进行任何消毒处理，攻击者就可以输入类似这样的内容。
由此产生的 SQL 查询将是
SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '' OR '1'='1';
这样，攻击者就能绕过验证码，畅通无阻地访问系统 。
| 左侧部分（SQL 注入类型） | 右侧部分（SQL 注入的后果） |
| 经典 SQL 注入：恶意用户修改输入以转换有效的 SQL 语句。 | 数据盗窃：攻击者还可以窃取敏感数据，如用户凭证、信用卡号和其他个人信息。 |
| 盲 SQL 注入：黑客通过观察应用程序的行为，即使没有得到直接响应，也能找出查询结构。 | 数据操纵：攻击者有能力更改或删除信息，从而导致数据可靠性问题。 |
| 基于错误的 SQL 注入：攻击者利用数据库显示的错误信息泄露信息。 | 身份验证绕过：攻击者可在未经授权的情况下访问系统。 |
| 基于时间的 SQL 注入：攻击者根据应用程序的响应时间推断查询结构。 | 拒绝服务（DoS）：攻击者可通过复杂的查询使数据库超载，导致用户无法使用应用程序。 |
| 完全数据库控制：在极端情况下，攻击者可以获得对数据库的完全控制权，从而导致系统完全崩溃。 |
为防止 SQL 注入，您需要遵循编码准则、正确管理数据库并实施安全措施。以下是一些降低 SQL 注入风险的策略：
预处理语句确保用户输入纯粹作为数据处理，而不是作为 SQL 命令的组成部分。
这种方法允许数据库区分 SQL 查询结构和数据本身，确保任何输入都不能修改查询结构。
例如，在 PHP 中使用 PDO（PHP 数据对象）：
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username AND password = :password');
$stmt->execute(['username' => $username_input, 'password' => $password_input]);
在本例中，:username和:password是用户输入的占位符，它们会被用户提供的实际值安全地替代。数据库引擎将输入作为纯数据处理，因此任何恶意输入都不会造成危害。
始终对用户输入进行验证和消毒，确保其符合预期格式。例如，如果输入应该是一个整数，那么在处理之前就应该检查数据类型。
在 Python 中，您可能会使用正则表达式来验证输入：
import re
def validate_input(user_input):
if re.match("^[a-zA-Z0-9_]+$", user_input):
return True
else:
return False
该功能只允许使用字母数字字符和下划线，从而降低了 SQL 注入的风险。
ORM 库抽象了数据库交互，允许开发人员使用编程语言语法与数据库交互，而不是直接使用 SQL 查询。
通过自动安全地处理查询构造，这一抽象本质上可防止 SQL 注入。
例如，在Django（一种 Python 网络框架）中，你不需要编写原始 SQL，而是像这样与数据库交互：
user = User.objects.get(username=user_input)
Django 的 ORM 可自动处理查询结构并防止 SQL 注入。
只授予应用程序必要的{BANNED}最佳低数据库权限。如果应用程序不需要删除记录，就不要授予它DELETE权限。这种{BANNED}最佳小权限原则可以减少攻击者发现 SQL 注入漏洞时造成的破坏。
WAF 可以在恶意输入到达应用程序之前将其过滤掉，从而检测并阻止常见的 SQL 注入尝试。WAF 是一个额外的安全层，是对编码实践的补充。
避免向{BANNED}最佳终用户显示详细的数据库错误信息。相反，在服务器端记录这些错误，并向用户显示通用错误信息。这种做法可以防止攻击者深入了解你的数据库结构。
在 .NET 中，您可以使用 try-catch 块来处理 SQL 错误：
try
{
// Database operations
}
catch (SqlException ex)
{
// Log error details
Logger.Log(ex);
// Show a generic message to the user
Response.Write("An error occurred. Please try again later.");
}
应定期进行安全审计和渗透测试，以发现 SQL 注入漏洞Tip DisableUserCodeExecution()。自动漏洞扫描仪和由安全专家进行的手动评估可以揭示存在的问题，即使在运行顺利的情况下也是如此。
大多数较新的数据库系统都有针对 SQL 注入的安全措施。它实现了比关系模型更多的功能，如用于进行更严格查询处理的存储过程（就 MySQL 而言）。
SQL 注入对安全构成风险，可能导致数据泄露和系统受损。要减轻这种威胁，必须遵循编码规范，有效验证输入，并安全地管理数据库。
开发人员应始终考虑用户输入的可能性。采取措施应对潜在风险。利用语句、ORM 库和其他保护策略，开发人员可以构建可抵御 SQL 注入攻击的应用程序。
定期进行安全评估和随时更新新出现的漏洞，在建立对这一普遍威胁的防御方面发挥了作用。