Báo cáo chuẩn bị sẵn sàng ngăn chặn các cuộc tấn công tiêm sql?

Question

Hãy xem xét một tình huống giả định mà tôi phải lấy một số chi tiết từ cơ sở dữ liệu dựa trên userId và mã mẫu được đưa ra dưới đây

private String getpassword(String username) { 

PreparedStatement statement = null; 
ResultSet resultSet = null; 
Connection conn = null; 

final String selectQuery = "SELECT password FROM " + "users WHERE username=?"; 
try { 
    conn = dataSource.getConnection(); 
    statement = conn.prepareStatement(selectQuery); 
    statement.setString(1, username); 
    resultSet = statement.executeQuery(); 
    if (resultSet.next()) { 
     } 

} catch (SQLException e) { 
// log it 
} 
//return 
} 

Tên người dùng này thực sự đến từ phía khách hàng và người dùng có thể làm xáo trộn các dữ liệu (nếu anh ta muốn). Vì vậy, sẽ chuẩn bịBáo cáo ngăn chặn từ việc chấp nhận báo giá và chỉ gửi các hình thức lọc của SQL vào cơ sở dữ liệu.

Ví dụ: Tôi có thể cung cấp tên người dùng = 'hoặc 1 = 1 và nó sẽ là một câu lệnh SQL hợp lệ. Nhưng nếu người lái xe thoát khỏi dấu ngoặc kép từ đầu vào của người dùng, thì họ sẽ ngăn chặn việc tiêm sql.

Hiểu biết chung về điều gì?

Answer 1

Theo đó, vâng: http://en.wikipedia.org/wiki/SQL_injection

Trong trường hợp đó báo cáo kết quả đã được biên soạn và tiêm mã sẽ không được giải thích (và do đó không được thực thi) một lần nữa.

Answer 2

Tên người dùng và truy vấn sẽ được gửi đến cơ sở dữ liệu dưới dạng hai thứ riêng biệt và công cụ cơ sở dữ liệu sẽ chịu trách nhiệm đưa hai trở lại với nhau. Truy vấn đã được biên dịch bởi công cụ bởi thời gian tham số được đọc, do đó, hai không bao giờ được coi là một phần của cùng một câu lệnh.

Answer 3

Sử dụng thông số và câu lệnh đã chuẩn bị không ngăn các cuộc tấn công SQL injection, tức là "" hoặc 1 = 1 "" sẽ không dẫn đến dữ liệu không mong muốn được trả về. Tuy nhiên, nếu ở bất kỳ giai đoạn nào bạn hiển thị lại dữ liệu cho người dùng, bạn cần đảm bảo rằng HTML được tạo ra không bị ảnh hưởng bởi đầu vào của người dùng quay lại từ cơ sở dữ liệu

Ví dụ: nếu trang web của bạn hiển thị :

Hello, ${username} 

nếu username là

<script>alert('I could have been more malicious')</script> 

có thể dẫn đến XSS hoặc CSRF tấn công.

N.B.

Hello, ${fn:escapeXml(username)} 

sẽ an toàn hơn (mã JSP).

Một tài liệu tham khảo tốt là:

• http://www.sans.org/top25-software-errors/