如何防止SQL注入攻击
BS系统中，传统的注入攻击手段有很多。
最基本的，利用单引号攻击的，很容易解决，用类似于QuotedStr()（实际开发是其他语言，这里用DELPHI中的函数代替）的函数处理参数即可。
但实际应用中，不可避免会有一些应用需要直接传递参数，例如表名、查询条件、排序条件等等
对这些应用的注入攻击防不胜防。
我考虑了一个思路，供大家参考。
1 对所有网页传入的参数分三种。
a) 数字类型，用StrToInt函数处理。
b) 字符串类型，用QuotedStr函数处理。
c) 需要直接传递的参数，这是需要着重考虑的类型。
2 对所有数据库操作主要分五种，不允许程序直接执行SQL语句：
a) select 查询
b) update 更新
c) insert 新增
d) delete 删除
e) exec 执行存储过程
3 对于以上几种数据库操作的所有参数，例如select 操作中的 查询条件、排序条件等，都进行合法性校验：
a) 里面存在 "--" "/*" "*/" 的，都视为非法条件。
b) 将条件拆分为单词，如果存在以下单词：delete insert update exec execute create drop grant的，都视为非法条件。（正常的表名、字段名中不可能有上面这些关键字吧。）
c) 传入的查询条件，校验里面的括号，凡是右括号在左括号前面（不配对）的，都视为非法条件。
d) 传入的查询条件，前后加括号。
经过以上校验，应该基本可以保证参数是正常的参数，供大家参考。同时也希望大家能找出其中的漏洞，我可以进行改进^_^
相关文档：
index.jsp
<%@ page language="java" import="java.sql.*" import="java.lang.*" import="java.util.*" pageEncoding="GB2312"%>
<%
String path = request.getContextPath();
String basePath = request.getScheme()+"://"+request.getServerName()+":"+request.getServerPort()+path+"/";
%>
<%!
& ......
第一步，在业务高峰期抓取样本数据（2个小时左右）。采用的工具是sqlserver自带的profiler，也叫事件探查器，如下图：
进入后，点击最左面的按钮，建立一个新的跟踪：
登录需要用DBO权限，所以可以用sa登录，也可以用windows集成验证方式（如果当前登录的就是sqlserver的话）
新建跟踪，一共有4个tab页进行� ......
---- 人们在使用SQL时往往会陷入一个误区，即太关注于所得的结果是否正确，而忽略
了不同的实现方法之间可能存在的性能差异，这种性能差异在大型的或是复杂的数据库
环境中（如联机事务处理OLTP或决策支持系统DSS）中表现得尤为明显。笔者在工作实践
中发现� ......
Using Oracle Index Hints in SQL statements
Hints are used to give specific information that we know about our data and application, to Oracle. This further improves the performance of our system. There can be instances where the default optimizer may not be efficient for a certain SQL statements. W ......
关于我们 | 加入我们 | 网站结构 | 交换连接 | 联系我们
首页
技术文摘
安全漏洞
菜鸟乐园
黑客进阶
资料文库
原创作品
软件下载
技术论坛
SQL完全简明手册
转帖
SQL是Structured Quevy Language(结构化查询语言)的缩写。SQL是专为数据库而建立
的操作命令集，是一种功能齐全的数据库语言。在使� ......
