2,508
社区成员
发帖
与我相关
我的任务
分享关于BS架构系统，防止SQL注入攻击的思路
BS系统中，传统的注入攻击手段有很多。
最基本的，利用单引号攻击的，很容易解决，用类似于QuotedStr()（实际开发是其他语言，这里用DELPHI中的函数代替）的函数处理参数即可。
但实际应用中，不可避免会有一些应用需要直接传递参数，例如表名、查询条件、排序条件等等
对这些应用的注入攻击防不胜防。
我考虑了一个思路，供大家参考。
1 对所有网页传入的参数分三种。
a) 数字类型，用StrToInt函数处理。
b) 字符串类型，用QuotedStr函数处理。
c) 需要直接传递的参数，这是需要着重考虑的类型。
2 对所有数据库操作主要分五种，不允许程序直接执行SQL语句：
a) select 查询
b) update 更新
c) insert 新增
d) delete 删除
e) exec 执行存储过程
3 对于以上几种数据库操作的所有参数，例如select 操作中的 查询条件、排序条件等，都进行合法性校验：
a) 里面存在 "--" "/*" "*/" 的，都视为非法条件。
b) 将条件拆分为单词，如果存在以下单词：delete insert update exec execute create drop grant的，都视为非法条件。（正常的表名、字段名中不可能有上面这些关键字吧。）
c) 传入的查询条件，校验里面的括号，凡是右括号在左括号前面（不配对）的，都视为非法条件。
d) 传入的查询条件，前后加括号。
经过以上校验，应该基本可以保证参数是正常的参数，供大家参考。同时也希望大家能找出其中的漏洞，我可以进行改进^_^
最基本的，利用单引号攻击的，很容易解决，用类似于QuotedStr()（实际开发是其他语言，这里用DELPHI中的函数代替）的函数处理参数即可。
但实际应用中，不可避免会有一些应用需要直接传递参数，例如表名、查询条件、排序条件等等
对这些应用的注入攻击防不胜防。
我考虑了一个思路，供大家参考。
1 对所有网页传入的参数分三种。
a) 数字类型，用StrToInt函数处理。
b) 字符串类型，用QuotedStr函数处理。
c) 需要直接传递的参数，这是需要着重考虑的类型。
2 对所有数据库操作主要分五种，不允许程序直接执行SQL语句：
a) select 查询
b) update 更新
c) insert 新增
d) delete 删除
e) exec 执行存储过程
3 对于以上几种数据库操作的所有参数，例如select 操作中的 查询条件、排序条件等，都进行合法性校验：
a) 里面存在 "--" "/*" "*/" 的，都视为非法条件。
b) 将条件拆分为单词，如果存在以下单词：delete insert update exec execute create drop grant的，都视为非法条件。（正常的表名、字段名中不可能有上面这些关键字吧。）
c) 传入的查询条件，校验里面的括号，凡是右括号在左括号前面（不配对）的，都视为非法条件。
d) 传入的查询条件，前后加括号。
经过以上校验，应该基本可以保证参数是正常的参数，供大家参考。同时也希望大家能找出其中的漏洞，我可以进行改进^_^
...全文
请发表友善的回复…
发表回复
goto2020 2011-10-19
- 打赏
- 举报
學習一下
txzsp 2010-11-08
- 打赏
- 举报
PreparedStatement是java的delphi就得自己干了。
六六木木 2010-08-25
- 打赏
- 举报
学习技术！！
xiaodao080320 2009-12-19
- 打赏
- 举报
不错
修改一下昵称 2009-10-22
- 打赏
- 举报
好贴，顶一下
随风落梦 2009-10-22
- 打赏
- 举报
的确，可以这样防止，学习了
syuekj 2009-10-22
- 打赏
- 举报
辛苦了
xiaowei_001 2009-10-22
- 打赏
- 举报
mark
有时间看
有时间看
junyi2003 2009-10-22
- 打赏
- 举报
关键是入口和出口预防。
中间层防致命性（崩溃性）错误。
中间层防致命性（崩溃性）错误。
yct0605 2009-10-21
- 打赏
- 举报
UP，学习了。
W9757 2009-10-21
- 打赏
- 举报
学习!
jack_ailly 2009-10-21
- 打赏
- 举报
up
Summue 2009-10-20
- 打赏
- 举报
谢谢，LZ!
悲剧的人参 2009-10-20
- 打赏
- 举报
学习下
chcn00 2009-10-20
- 打赏
- 举报
真好！学习，学习！
wxhysoftsodc 2009-10-20
- 打赏
- 举报
关注 收藏
hujiang123000 2009-10-20
- 打赏
- 举报
强啊
binggirl 2009-10-20
- 打赏
- 举报
看的不是很懂
sunjiakai 2009-10-20
- 打赏
- 举报
基本上可以避免。
zhxc87 2009-10-20
- 打赏
- 举报
学习……
加载更多回复（140）
