第９卷第４期 ２００９年９月 南京工业职业技术学院学报 Ｊｏｕｒｎａｌ ｏｆ Ｎａｎｊｉｎｇ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｉｎｄｕｓｔｒｙ Ｔｅｃｈｎｏｌｏｇｙ Ｖｏ１．９，Ｎｏ．４ Ｄｅｃ．，２００９ 文章编号：１６７１—４６４４（２００９）０４—００４６—０２ 如何防范ＳＱＬ注入攻击 彭复明 （南京工业职业技术学院 信息工程系，江苏 南京２１００４６） 摘要：阐述了ＳＱＬ注入攻击的概念，用实例描绘了它攻击登录页面的具体手段与过程，全面分析了登录过程易 受攻击的原因，给出了两种切实可行防范ＳＱＬ注入攻击的方法。 关键词：ＳＱＬ注入；正则表达式；登录 中图分类号：ＴＰ３９３．０８ 文献标识码：Ａ 在大型的ＡＳＰ．ＮＥＴ项目中，查询是必不可少的功能之 一上述ＳＱＬ注入攻击之所以能成功，是因为有以下两点 …。但在近些年的网络应用实践中，数据库的网络查询 原因：（１）应用程序没有对“”’字符作特别处理。（２） ＳＱＬ验证语句存在大的隐患。为了防范ＳＱＬ注入攻击，围 绕以上两点内容，下面给出两个具体的方法来解决这个问 题。 屡屡遭到ＳＱＬ注入（ＳＱＬ Ｉｎｊｅｃｔｉｏｎ）攻击。为此，有关防范 ＳＱＬ注入攻击的研究论文层出不穷。它们大多对防范ＳＱＬ 注入攻击指明了方向，但都或多或少存在一些问题与局限 性。例如，有一些文章把本来比较简单的问题变得过于复 杂；有些只有理论研究，没有给出实际运用的例子等等。 ＳＱＬ注入是将ＳＱＬ代码传递到应用程序的过程中，实 际运行并不是按照开发人员预定或期望的方式进行 Ｊ。在 ＡＳＰ．ＮＥＴ网页的登录界面中，通常要求用户输入用户名与 密码，然后点击登录按钮进行验证。验证一个帐户是否合法 的最关键一条ＳＱＬ语句是： ”１正则表达式验证控件法 正则表达式匹配验证控件的功能是检查用户数据输入的 字符串，看它是否匹配已定义好的正则表达式的模式 。 这里的用户框与密码框必须禁止出现“”’字符。 在网页中，针对用户框与密码框，增加正则表达式匹配 验证控件。选取属性ＶａｌｉｄａｔｉｏｎＥｘｐｒｅｓｓｉｏｎ＝“［ ］ ”，就 能禁止“”’字符的出现。其中［ ］表示单个非“”’字 符； 表示零次或多次匹配前面的字符或子表达式。 ］ ｓｅｌｅｃｔ ＵｓｅｒＩＤ ｆｒｏｍ Ｕｓｅｒｓ ｗｈｅｒｅ ＵｓｅｒＮａｍｅ＝ ”＋Ｔｅｘｔ— Ｂｏｘ１．Ｔｅｘｔ＋” ＡＮＤ Ｐａｓｓｗｏｒｄ＝ ’＋ＴｅｘｔＢｏｘ２．Ｔｅｘｔ＋” ’ 显然，此条ＳＱＬ语句的本意是：如果用户输入的用户 名与密码在数据库表中存在的话，就说明该帐户合法。然 就表示可以出现零次或多次非“”’字符。再取属性Ｅｒ－ ｒｏｒＭｅｓｓａｇｅ＝“非法输人”。同样，选取 １ ＝ １ ｏｒ １ ＝ 作 而，当选取＂ｏｒ～１： １ ｏｒ １ ： ０作为用户名时（密码设置为 空），上述ＳＱＬ语句变成了下面这样一条语句： ｓｅｌｅｃｔ ＵｓｅｒｌＤ ｆｒｏｍ Ｕｓｅｒｓ ｗｈｅｒｅ ＵｓｅｒＮａｍｅ＝ ｏｒ １ ＝ １ ｏｒ 为用户名，当光标切换到密码框时，界面上就会显示“非 法输入”，表示这样的用户名不可接受。图２就是正则验证 控件成功阻止ＳＱＬ注入攻击的画面。 １ ＝勺 ＡＮＤ Ｐａｓｓｗｏｒｄ＝ 由于１ ＝，ｌ 恒成立，整个ｗｈｅｒｅ后面的式子就为真。也 就是说，即使不使用合法的帐户，也能通过验证。图１就是 上述ＳＱＬ注入攻击成功的例子。 图２，－ｒ：￣ｊｌ验证控件阻止ＳＱＬ注入攻击 ２釜底抽薪法 图１ ＳＱＬ注入攻击成功 收稿日期：２００９—０９—２０ 俗话说得好，扬汤止沸，不如釜底抽薪。之所以存在 作者简介：彭复明（１９６２一），男，江苏南京人，南京工业职业技术学院讲师，工学硕士。 第９卷第４期 彭复明：如何防范ＳＱＬ注入攻击 ４７ ＳＱＬ注入攻击的问题，是因为ＳＱＬ验证语句存在巨大隐患。 键语句ｉｆ（ｔＯ＝＝ｓｔｒ０＆＆ｔｌ＝＝ｓｔｒ１）是两个字符串变量作 如果把ＳＱＬ验证语句中ｗｈｅｒｅ部分去除，让一段应用程序代 码来处理，就可以收到非常好的效果。下面就给出这段程序 比较，它不会产生任何“ｏｒ”操作。上面ｉｆ语句中的逻辑运 算不可能为真，所以这种ＳＱＬ注入攻击不会成功。图３就 的完整代码。 是釜底抽薪法成功阻止ＳＱＬ注入攻击的案例。 ＳｑｌＣｏｎｎｅｃｔｉｏｎ ｃｏｎｎ＝ｎｅｗ ＳｑｌＣｏｎｎｅｃｔｉｏｎ（“ｓｅｒｖｅｒ＝．：ｄａ— ｔａｂａｓｅ＝ＷｅｂＵｓｅｒＤＢ；ｔｒｕｓｔｅｄ—ｃｏｎｎｅｃｔｉｏｎ＝ｔｕｒｅ”）；／／创建数 据库连接字 ｐｒｏｔｅｃｔｅｄ ｖｏｉｄ Ｂｕｔｔｏｎｌ—Ｃｌｉｃｋ（ｏｂｊｅｃｔ ｓｅｎｄｅｒ，ＥｖｅｎｔＡｒｇｓ ｅ）／／单击登录按钮运行 ｛ｓｔｉｒｎｇ ｔＯ，ｔｌ，ｓｔｒ０，ｓｔｒｌ；／／定义字符串变量 Ｏｔ＝（ｓｔｉｒｎｇ）ＴｅｘｔＢｏｘ１．Ｔｅｘｔ．Ｔｒｉｍ（）；／／赋用户名 ｔｌ＝（ｓｔｉｒｎｇ）ＴｅｘｔＢｏｘ２．Ｔｅｘｔ．Ｔｒｉｍ（）；／／赋密码 ＳｑｌＣｏｍｍａｎｄ ｏｐｅｎ—ｕｓｅｒｓ＝ｎｅｗ ＳｑｌＣｏｍｍａｎｄ（“ｓｅｌｅｃｔ ＵｓｅｒＮａｍｅ，Ｐａｓｓｗｏｒｄ ｆｒｏｍ Ｕｓｅｒｓ”，ｃｏｎｎ）； ／／不带任何条件检索出数据库中所有用户名及密码。此 处大大地修改了之前的ＳＱＬ验证语句 ｃｏｎｎ．Ｏｐｅｎ（）；／／打开数据库连接 ＳｑｌＤａｔａＲｅａｄｅｒ ｄｒ＝ｏｐｅｎ—ｕｓｅｒｓ．ＥｘｅｃｕｔｅＲｅａｄｅｒ（）； 图３釜底抽薪法阻止ＳＱＬ注入攻击 ／／执行上述ＳＱＬ查询语句，结果存放ｄｒ中 ｗｈｉｌｅ ｄｒ．Ｒｅａｄ（）／／还有记录吗？循环 ３ 结束语 ｛ｓｔｒ０＝ｄｒ．ＧｅｔＳｔｒｉｎｇ（０）．Ｔｒｉｍ（）；／／取用户名 以上介绍了两种防范ＳＱＬ注入攻击的方法。第一种正 ｓｔｒｌ：ｄｒ．ＧｅｔＳｔｒｉｎｇ（１）．Ｔｒｉｍ（）；／／取对应密码 则表达式验证控件法非常简单、实用。而第二种釜底抽薪 ｉｆ（ｔＯ＝＝ｓｔｒ０＆＆ｔｌ＝＝ｓｔｒ１）／／与用户输入一致 法，一开始就杜绝了任何非法侵入，从根本上阻止了ＳＱＬ 吗？ 注入攻击。 ｛Ｌａｂｅｌ３．Ｔｅｘｔ＝“登录成功！”；／／是，显示成功 ｃｏｎｎ．Ｃｌｏｓｅ（）；／／关闭数据库连接 参考文献： ｒｅｔｕｒｎ；／／返回｝｝ ［１］张跃东．基于ＡＳＰ的通用条件查询模块的设计与实现 Ｌａｂｅｌ３．Ｔｅｘｔ＝“登录失败！！！”；／／所有记录都不成 ［Ｊ］．南京工业职业技术学院学报，２００８（２）：５０—５１． 功，显示失败 ［２］李玉林，王岩．ＡＳＰ．ＮＥＴ ２．０网络编程从入门到精通 ｃｏｎｎ．Ｃｌｏｓｅ（）；／／关闭数据库连接｝ ［Ｍ］．北京：清华大学出版社，２００６：１９６． 当选取＂ｏｒ～１： １ ｏｒ １ ＝ ０作为用户名（密码框为空）， ［３］崔永红．ＡＳＰ．ＮＥＴ程序设计［Ｍ］．北京：中国铁道出 并单击登录键后，运行前面代码。此时字符串变量ｔｏ的值 版社，２００７：１１６． 为“＂ｏｒ～１＝ １＂ｏｒ～１＝０”，同样ｓｔｒ０也是字符串变量。其中关 Ｈｏｗ ｔｏ Ｐｒｅｖｅｎｔ ＳＱＬ Ｉｎｊｅｃｔｉｏｎ Ａｔｔａｃｋｓ ＰＥＮＧ Ｆｕ－ｍｉｎｇ （Ｎａｎｊｉｎｇ Ｉｎｓｔｉｔｕｔｅ ｏｆＩｎｄｕｓｔｒｙ Ｔｅｃｈｎｏｌｏｇｙ，Ｎａ ｎｇ ２１００４６，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ：Ｔｈｉｓ ｐａｐｅｒ ｅｘｐｌａｉｎｓ ｔｈｅ ｃｏｎｃｅｐｔ ｏｆ ＳＱＬ ｉｎｊｅｃｔｉｏｎ ａｔｔａｃｋ，ｉｌｌｕｓｔｒａｔｅｓ ｔｈｅ ｓｐｅｃｉｉｆｃ ｍｅａｎｓ ａｎｄ ｐｒｏｃｅｓｓ ｏｆ ｉｔｓ ａｔｔａｃｋｓ ｏｎ ｔｈｅ ｌｏｇｇｉｎｇ ｐａｇｅ，ｄｅｔａｉｌｓ ｔｈｅ ｒｅａｓｏｎｓ ｏｆ ｂｅｉｎｇ ｖｕｌｎｅｒａｂｌｅ ｔｏ ａｔｔａｃｋｓ ａｎｄ ｐｒｅｓｅｎｔｓ ｔｗｏ ａｐｐｌｉｃａｂｌｅ ｍｅｔｈｏｄｓ ｏｆ ｐｒｅｖｅｎｔｉｎｇ ＳＱＬ ｉｎｊｅｃｔｉｏｎ ａｔｔａｃｋｓ． Ｋｅｙ ｗｏｒｄｓ：ＳＱＬ Ｉｎｊｅｃｔｉｏｎ；ｒｅｇｕｌａｒ ｅｘｐｒｅｓｓｉｏｎ；ｌｏｇ ｏｎ （责任编辑周 源）