带例子的基础SQL注入和缓解

SQL注入是一种网络攻击类型，允许攻击者在数据库上执行恶意的SQL语句。这些语句可以用于操纵数据、检索敏感信息，甚至删除整个数据库。它是最常见和危险的网络漏洞之一，可以影响任何使用SQL数据库的网站或Web应用程序。

在本文中，我们将讨论SQL注入的基础知识，它是如何工作的以及如何防止它。我们还将提供一个基本的SQL注入攻击示例，并展示如何缓解它。

阅读更多：MySQL 教程

什么是SQL注入？

SQL或结构化查询语言是一种编程语言，用于管理和操作存储在关系数据库中的数据。它是与数据库交互的标准语言，被全球数百万个网站和应用程序使用。

SQL注入是一种利用基于SQL的应用程序中的漏洞的网络攻击。它允许攻击者将恶意代码插入到应用程序的SQL语句中，然后可以由数据库执行。这可以允许攻击者未经授权地访问敏感数据、修改或删除数据，甚至控制整个数据库。

SQL注入如何工作？

SQL注入攻击通过利用设计不良或实现不良的SQL代码来实现。当应用程序收到用户输入时，通常会将其直接并入SQL查询中，而不进行适当的验证或净化。这可以允许攻击者将恶意代码插入到查询中，然后可以由数据库执行。

例如，考虑一个简单的登录表单，要求用户输入用户名和密码。应用程序可能会生成像这样的SQL查询来验证用户的凭据：

SELECT * FROM users WHERE username=' $username' AND password='$ password';

在这种情况下， $username和$ password变量被用户的输入替换。如果用户输入自己的用户名和密码，查询将按预期工作。然而，如果攻击者输入恶意输入，则可以操纵查询以执行诸如检索敏感数据甚至删除整个表之类的操作。

例如，攻击者可能将以下内容输入为其密码 –

' OR 1=1; -

SELECT * FROM users WHERE username='$username' AND password='' OR 1=1;
--';

OR 1=1语句将始终计算为true，因此查询将返回users表中的所有行。–在结尾处是一个SQL注释，告诉数据库忽略它之后的所有内容。这允许攻击者绕过查询的其余部分并访问整个表。

如何防止SQL注入？

防止SQL注入攻击需要好的设计实践和适当的输入验证。以下是您可以采取的一些步骤来保护您的应用程序 –

使用参数化查询 − 防止 SQL 注入最简单而又最有效的方法之一是使用参数化查询。这涉及将 SQL 代码与用户输入分开，并将输入作为一个独立的参数传递。这确保了输入被视为一个值，而不是 SQL 代码的一部分，并使攻击者注入恶意代码更加困难。
验证和清理用户输入 − 另一个重要的步骤是验证和清理所有用户输入。这涉及检查输入中是否含有任何字符或模式，这些字符或模式可能是注入恶意代码的尝试。您还应该限制用户可以输入的类型和长度。
使用预处理语句 − 预处理语句是一种参数化查询，可以用于防止 SQL 注入。它们允许您创建一个 SQL 语句的模板，然后在以后的时间传递参数。这可以有助于防止 SQL 注入，因为参数不会被解析，直到它们被传递给预处理语句，这意味着任何恶意代码都将被视为值，而不是 SQL 代码的一部分。
使用存储过程 − 存储过程是预编译的 SQL 语句，存储在数据库中。它们可以用于执行复杂的查询和执行各种任务，例如插入、更新或删除数据。由于存储过程是预先编译的，它们可以比常规 SQL 语句更快速和高效。它们还可以帮助防止 SQL 注入，因为输入作为一个独立的参数传递给存储过程，而不是直接合并到 SQL 代码中。
强制使用强密码 − 攻击者获取数据库访问权限最常见的方法之一是猜测或破解弱密码。为了防止这种情况发生，您应该强制执行强密码策略，包括使用长且难以猜测或破解的密码。您还应该考虑使用双因素身份验证或其他安全措施来保护敏感账户。

示例：基本的 SQL 注入攻击和缓解

为了说明 SQL 注入的基础知识，让我们通过一个简单的登录表单示例来演示易受注入攻击。然后，我们将展示如何使用参数化查询来缓解此漏洞。

首先，让我们在 MySQL 数据库中创建一个简单的表来容纳用户：

CREATE TABLE users (
   id INT AUTO_INCREMENT PRIMARY KEY,
   username VARCHAR(50) NOT NULL,
   password VARCHAR(50) NOT NULL
);

接下来，我们将创建一个带有简单 HTML 表单的登录表单：

<form action="login.php" method="post">
   <label for="username">用户名:</label>
   <input type="text" name="username" id="username">
   <br>
   <label for="password">密码:</label>
   <input type="password" name="password" id="password">
   <br>
   <input type="submit" value="登录">
</form>

示例

该表单将带有用户名和密码字段的POST请求发送到login.php。然后我们可以使用PHP来处理请求并检查用户的凭据是否与数据库匹配−

<?php
   // 连接数据库
    $db = new mysqli("localhost", "username", "password", "database"); // 检查是否已提交表单 if (isset($ _POST["username"]) && isset( $_POST["password"])) { // 从表单中获取用户名和密码$ username =  $_POST["username"];$ password =  $_POST["password"]; // 创建SQL查询$ query = "SELECT * FROM users WHERE username=' $username' AND password='$ password'";

      // 执行查询
       $result =$ db->query( $query); // 检查查询是否返回任何行 if ($ result->num_rows > 0) {

         // 用户名和密码正确
         echo "登录成功!";
      } else {

         // 用户名或密码不正确
         echo "用户名或密码错误";
      }
   }
?>

该代码使用来自表单的“用户名”和“密码”字段创建了一个SQL查询，然后使用“mysqli”对象的“query（）”方法执行该查询。如果查询返回任何行，则表示用户名和密码正确，用户已登录。

然而，这段代码容易受到SQL注入攻击。攻击者可以在表单中输入恶意内容，这些内容将直接并入到SQL查询中。例如，如果攻击者将下面这些输入作为他们的用户名 −

admin' --

生成的SQL查询将像下面这样 −

SELECT * FROM users WHERE username='admin' --' AND password='$password';

结尾处的--'是SQL注释，它告诉数据库忽略其后的所有内容。这允许攻击者绕过查询的其余部分并访问admin’用户，即使他们不知道密码。

范例

为了减轻这种漏洞，我们可以使用参数化查询而不是直接从用户输入构建SQL查询。使用参数化查询代码如下所示 −

<?php
   // 连接到数据库
    $db = new mysqli("localhost", "username", "password", "database"); // 检查表单是否已提交 if (isset($ _POST["username"]) && isset( $_POST["password"])) { // 从表单获取用户名和密码$ username =  $_POST["username"];$ password =  $_POST["password"]; // 创建一个预处理语句$ stmt =  $db->prepare("SELECT * FROM users WHERE username=? AND password=?"); // 将参数绑定到预处理语句$ stmt->bind_param("ss",  $username,$ password);

      // 执行预处理语句
       $stmt->execute(); // 获取结果$ result =  $stmt->get_result(); // 检查查询是否返回任何行 if ($ result->num_rows > 0) {

         // 用户名和密码正确
         echo "登录成功！";
      } else{

         // 用户名和密码不正确
         echo "无效的用户名或密码";
      }
   }
?>

在这个代码版本中，我们使用了预处理语句来创建SQL查询的模板。然后，我们使用bind_param()方法将用户名和密码变量绑定到预处理语句作为参数，确保输入被视为值，而不是SQL代码的一部分，这使得攻击者很难注入恶意代码。