lostecho/build-web-application-with-golang
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

修改了一些语句

Browse Source
This commit is contained in:
xiemengjun
2012-10-20 19:21:37 +08:00
parent 8342ad624e
commit b4afcc6a57
4 changed files with 20 additions and 24 deletions
Download Patch File Download Diff File Expand all files Collapse all files

22
9.4.md
View File

@@ -1,12 +1,12 @@
##9.4 避免SQL注入
##什么是SQL注入
SQL注入攻击（SQL Injection），简称注入攻击，它是Web开发中最常见的一种安全漏洞。SQL注入漏洞可以用来从数据库获取敏感信息，或者利用数据库的特性执行添加用户，导出文件等一系列恶意操作，甚至有可能获取数据库乃至系统最高权限。
SQL注入攻击（SQL Injection），简称注入攻击，是Web开发中最常见的一种安全漏洞。可以用它来从数据库获取敏感信息，或者利用数据库的特性执行添加用户，导出文件等一系列恶意操作，甚至有可能获取数据库乃至系统最高权限。
而造成SQL注入的原因是由于程序没有过滤用户的输入，攻击者通过向服务器提交恶意的SQL查询语句，应用程序接收后错误的将攻击者的输入作为原始SQL查询语句的一部分执行，导致改变了程序原始的SQL查询逻辑，额外的执行了攻击者构造的SQL查询语句。
而造成SQL注入的原因是因为程序没有有效过滤用户的输入，使攻击者成功的向服务器提交恶意的SQL查询代码，程序在接收后错误的将攻击者的输入作为查询语句的一部分执行，导致原始的查询逻辑被改变，额外的执行了攻击者精心构造的恶意代码。
##SQL注入实例
很多 web 开发者没有注意到 SQL 查询是可以被篡改的，因而把 SQL 查询当作可信任的命令。殊不知道，SQL 查询可以绕开访问控制，从而绕过身份验证和权限检查。更有甚者，有可能通过 SQL 查询去运行主机操作系统级的命令。
很多Web开发者没有意识到SQL查询是可以被篡改的，从而把SQL查询当作可信任的命令。殊不知，SQL查询是可以绕开访问控制，从而绕过身份验证和权限检查的。更有甚者，有可能通过SQL查询去运行主机系统级的命令。
下面将会给出一些真实的例子详细讲解一下SQL注入危害。
下面将通过一些真实的例子来详细讲解SQL注入的方式。
考虑以下简单的登录表单：
@@ -22,7 +22,7 @@ SQL注入攻击（SQL Injection），简称注入攻击，它是Web开发中最
password:=r.Form.Get("password")
sql:="SELECT * FROM user WHERE username='"+username+"' AND password='"+password+"'"
如果用户的输入用户名如下所示，密码任意
如果用户的输入的用户名如下，密码任意
myuser' or 'foo' = 'foo' --
@@ -30,9 +30,9 @@ SQL注入攻击（SQL Injection），简称注入攻击，它是Web开发中最
SELECT * FROM user WHERE username='myuser' or 'foo'=='foo' --'' AND password='xxx'
在SQL里面`--`是注释标记，所以查询语句会在此中断。这就允许了一个攻击者在不知道任何合法用户名和密码的情况下登录。
在SQL里面`--`是注释标记，所以查询语句会在此中断。这就让攻击者在不知道任何合法用户名和密码的情况下成功登录了。
对于MSSQL还有更加危险的一种SQL注入，就是控制系统，下面这个可怕的例子将会演示如何在某些数据库上执行系统命令。
对于MSSQL还有更加危险的一种SQL注入，就是控制系统，下面这个可怕的例子将演示如何在某些版本的MSSQL数据库上执行系统命令。
sql:="SELECT * FROM products WHERE name LIKE '%"+prod+"%'"
Db.Exec(sql)
@@ -47,21 +47,21 @@ MSSQL服务器会执行这条SQL语句，包括它后面那个用于向系统添
##如何预防SQL注入
也许你会说攻击者要知道数据库结构的信息才能实施SQL注入攻击。确实如此，但没人能保证攻击者一定拿不到这些信息，一但他们拿到了，数据库就存在泄露的危险。如果你在用开放源代码的软件包来访问数据库，比如论坛程序，攻击者就很容易得到相关的代码。如果这些代码设计不良的话，风险就更大了。目前Discuz、phpwind、phpcms这些流行的框架都有被SQL注入攻击的先例。
也许你会说攻击者要知道数据库结构的信息才能实施SQL注入攻击。确实如此，但没人能保证攻击者一定拿不到这些信息，一旦他们拿到了，数据库就存在泄露的危险。如果你在用开放源代码的软件包来访问数据库，比如论坛程序，攻击者就很容易得到相关的代码。如果这些代码设计不良的话，风险就更大了。目前Discuz、phpwind、phpcms这些流行的框架都有被SQL注入攻击的先例。
这些攻击总是建立在安全意识不强的代码上的。所以，永远不要信任外界输入的数据，特别是来自于客户端的，包括选择框、表单隐藏域和 cookie。就如上面的第一个例子那样，就算是正常的查询也有可能造成灾难。
SQL注入攻击的危害这么大，那么该如何来防治呢?下面这些建议或许对你编写Web应用防治SQL注入有一定的帮助。
SQL注入攻击的危害这么大，那么该如何来防治呢?下面这些建议或许对防治SQL注入有一定的帮助。
- 1、严格限制Web应用的数据库的操作权限，给此用户提供仅仅能够满足其工作的权限，从而最大限度的减少注入攻击对数据库的危害。
- 2、检查输入的数据是否具有所期望的数据格式，严格限制变量的类型，例如使用regexp包进行一些匹配处理，或者使用strconv包里面的字符串转化成相应格式的数据进行判断。
- 3、对进入数据库的特殊字符（'"\尖括号&*;等）进行转义处理，或编码转换。Go里面`text/template`里面的`HTMLEscapeString`函数进行转义处理。
- 3、所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。例如`database/sql`里面的查询的话首先执行`Prepare`然后执行`Query`，更新或者插入的话`Exec(query string, args ...interface{})`
- 3、所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中，即不要直接拼接SQL语句。例如`database/sql`里面的查询的话首先执行`Prepare`然后执行`Query`，更新或者插入的话`Exec(query string, args ...interface{})`
- 4、在应用发布之前建议使用一些专业的SQL注入检测工具进行检测，及时修补这些SQL注入漏洞。例如sqlmap、SQLninja等SQL注入检测工具，网上应该有很多这方面的开源工具。
- 5、避免网站打印出来SQL错误信息，比如类型错误、字段不匹配等，防止攻击者利用这些错误信息进行一些判断。
##总结
SQL注入是目前Web应用开发中存在的比较严重的漏洞，通过上面的示例我们也知道了他的危害性是非常严重的，所以对于我们平常编写的Web应用，应该对于每一个小细节都要非常重视，细节决定命运，生活如此，编写Web应用也是这样。
通过上面的示例我们可以知道，SQL注入是危害相当大的安全漏洞。所以对于我们平常编写的Web应用，应该对于每一个小细节都要非常重视，细节决定命运，生活如此，编写Web应用也是这样。
## links
* [目录](<preface.md>)