防止sql注入攻擊的方法總結

SQL注入是一種利用未過濾/未稽核使用者輸入的攻擊方法（“緩存溢出”和這個不同），意思就是讓應用運作本不應該運作的SQL代碼。通過把SQL指令插入到Web表單遞交或輸入域名或頁面請求的查詢字元串，就會造成一些出人意料的結果，最終達到欺騙伺服器執行惡意的SQL指令。

SQL注入是比較常見的網絡攻擊方式之一，它不是利用作業系統的BUG來實作攻擊，而是針對程式員程式設計時的疏忽，通過SQL語句，實作無帳号登入，甚至篡改資料庫。

二、SQL注入攻擊的總體思路

1.尋找到SQL注入的位置

2.判斷伺服器類型和背景資料庫類型

3.針對不通的伺服器和資料庫特點進行SQL注入攻擊

三、防止SQL注入攻擊的方法總結

一、參數化SQL

是指在設計與資料庫連結并通路資料時，在需要填入數值或資料的地方，使用參數 (Parameter) 來給值，用@來表示參數。

在使用參數化查詢的情況下，資料庫伺服器不會将參數的内容視為SQL指令的一部份來處理，而是在資料庫完成 SQL 指令的編譯後，才套用參數運作，是以就算參數中含有惡意的指令，由于已經編譯完成，就不會被資料庫所運作,是以，可從一定程度上避免SQL注入。（注意：隻是一定程度上避免，仍有例外）

在不用的資料庫上基本文法都是一樣的，但在不同的運作平台上用戶端的書寫有不同之處，舉例使用SQL server在.net上執行。

SqlCommand sqlcmd = new SqlCommand("INSERT INTO myTable (c1, c2, c3, c4) VALUES (@c1, @c2)", sqlconn);
    sqlcmd.Parameters.AddWithValue("@c1", 1); ' 設定參數 @c1 的值。
    sqlcmd.Parameters.AddWithValue("@c2", 2); ' 設定參數 @c2 的值。
    sqlconn.Open();
    sqlcmd.ExecuteNonQuery();
    sqlconn.Close();
           

注意：

1、如果存儲過程中使用字元串拼接sql的話，上面的參數化将不會起作用，單引号必須經過判斷并替換，在資料庫中，用2個單引号代表1個實際的單引号。是以，如果是拼接sql字元串的方式，需要用Replace(@para,'''', '''''')來替換一下，将1個單引号替換為2個就沒有問題了。

2、使用這種參數化查詢的辦法，防止SQL注入的任務就交給ADO.NET了, 如果在項目中統一規定必須使用參數化查詢，就不用擔心因個别程式員的疏忽導緻的SQL注入漏洞了。 但是，問題還沒有完，SQL注入的漏洞是堵住了，但是查詢結果的正确性，參數化查詢并不能幫上什麼忙。

二、字元串過濾（在上面方法不能阻止的情況下，可以使用該方法,不推薦使用）

//字元串過濾，防止sql注入。

public bool IsHasSQLInject(string str){
    bool isHasSQLInject = false;
           

//字元串中的關鍵字更具需要添加

string inj_str = "'|and|exec|union|create|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|xp_|or|--|+";
    str = str.ToLower().Trim();
    string[] inj_str_array = inj_str.Split('|');
    foreach (string sql in inj_str_array)
    {
    if (str.IndexOf(sql) > -1)
    {
    isHasSQLInject = true;
    break;
    }
    }
    return isHasSQLInject;
    }
           

三、使用正規表達式過濾傳入的參數（這個方法沒有親自驗證，從網上找來的）

下面是具體的正規表達式：

檢測SQL meta-characters的正規表達式 ：/(%27)|(’)|(--)|(%23)|(#)/ix

修正檢測SQL meta-characters的正規表達式 ：/((%3D)|(=))

1

*((%27)|(’)|(--)|(%3B)|(:))/i

典型的SQL 注入攻擊的正規表達式 ：/w*((%27)|(’))((%6F)|o|(%4F))((%72)|r|(%52))/ix

檢測SQL注入，UNION查詢關鍵字的正規表達式 ：/((%27)|(’))union/ix(%27)|(’)

檢測MS SQL Server SQL注入攻擊的正規表達式：/exec(s|+)+(s|x)pw+/ix

結合Regular Expression使用，簡稱RE是一種非常強大的文字驗證技術。If Re.Mathc(str,pattern).Success Then 繼續執行，這裡使用Match方法來對使用者輸入的内容與定義好的模闆進行驗證。

四、前端js防範SQL注入（前端驗證隻能起到一定作用，還需要背景參數化阻止SQL注入）

var url = location.search;
     var re=/^\?(.*)(select%20|insert%20|delete%20from%20|count\(|drop%20table|update%20truncate%20|asc\(|mid\(|char\(|xp_cmdshell|exec%20master|net%20localgroup%20administrators|\"|:|net%20user|\|%20or%20)(.*)$/gi;
     var e = re.test(url);
     if(e) {
     alert("位址中含有非法字元～");
     location.href="error.asp";
     }
           

來源連結：

https://www.wosign.com/news/news_2018121301.htm

1. n ↩