是否使用存储过程就可以避免SQL注入攻击呢？

xuexicccc 2011-04-01 04:20:27
是否使用存储过程就可以避免SQL注入攻击呢？
...全文
424 9 打赏 收藏 转发到动态 举报
写回复
用AI写文章
9 条回复
切换为时间正序
请发表友善的回复…
发表回复
alian_1126 2011-04-01
  • 打赏
  • 举报
 回复
以专业开发人员为伍 2011-04-01
  • 打赏
  • 举报
 回复
如果存储过程内部还是使用字符串参数的值来拼接sql指令（然后使用exec来执行），跟应用程序中拼接sql语句的问题也是一样的。
高山 2011-04-01
  • 打赏
  • 举报
 回复
使用存储过程与防注入没啥关系...

使用参数才能有效防注入..
SK_Aqi 2011-04-01
  • 打赏
  • 举报
 回复
是参数化,不是指存储过程..
即使你使用拼接sql也可以进行参数化也是防止sql注入的..
但是这种方法可以的还是相对局限而已.
七爷 2011-04-01
  • 打赏
  • 举报
 回复
俩字，不能
xuexicccc 2011-04-01
  • 打赏
  • 举报
 回复
可以有效屏蔽是什么意思？
fangyi714 2011-04-01
  • 打赏
  • 举报
 回复
谁说的？

防止注入攻击首先要控制用户的输入，不是什么光存储过程就可以的
hookyzlr 2011-04-01
  • 打赏
  • 举报
 回复
可以有效屏蔽，但是不能完全避免。。没有绝对的事情
SQL注入攻击与防御（安全技术经典译丛）
作 者：（美）克拉克 著，黄晓磊，李化 译 SQL注入是Internet上最危险、最有名的安全漏洞之一，本书是目前唯一一本专门致力于讲解SQL威胁的图书。本书作者均是专门研究SQL注入的安全专家，他们集众家之长，对应用程序的基本编码和升级维护进行全面跟踪，详细讲解可能引发SQL注入的行为以及攻击者的利用要素，并结合长期实践经验提出了相应的解决方案。针对SQL注入隐蔽性极强的特点，本书重点讲解了SQL注入的排查方法和可以借助的工具，总结了常见的利用SQL漏洞的方法。另外，本书还专门从代码层和系统层的角度介绍了避免SQL注入的各种策略和需要考虑的问题。 　　本书主要内容 　　SQL注入一直长期存在，但最近有所增强。本书包含所有与SQL注入攻击相关的、当前已知的信息，凝聚了由本书作者组成的、无私奉献的SQL注入专家团队的所有深刻见解。 　　什么是SQL注入?理解它是什么以及它的基本原理 　　查找、确认和自动发现SQL注入 　　查找代码中SQL注入时的提示和技巧 　　使用SQL注入创建利用 　　通过设计来避免由SQL攻击所带来的危险 目录： 第1章 什么是SQL注入 　1.1 概述 　1.2 理解Web应用的工作原理 　　1.2.1 一种简单的应用架构 　　1.2.2 一种较复杂的架构 　1.3 理解SQL注入 　1.4 理解SQL注入的产生过程 　　1.4.1 构造动态字符串 　　1.4.2 不安全的数据库配置 　1.5 本章小结 　1.6 快速解决方案 　1.7 常见问题解答 第2章 SQL注入测试 　2.1 概述 　2.2 寻找SQL注入 　　2.2.1 借助推理进行测试 　　2.2.2 数据库错误 　　2.2.3 应用响应 　　2.2.4 SQL盲注 　2.3 确认SQL注入 　　2.3.1 区分数字和字符串 　　2.3.2 内联SQL注入 　　2.3.3 终止式SQL注入 　　2.3.4 时间延迟 　2.4 自动寻找SQL注入 　2.5 本章小结 　2.6 快速解决方案 　2.7 常见问题解答 第3章 复查代码中的SQL注入 　3.1 概述 　3.2 复查源代码中的SQL注入 　　3.2.1 危险的编码行为 　　3.2.2 危险的函数 　　3.2.3 跟踪数据 　　3.2.4 复查PL/SQL和T-SQL代码 　3.3 自动复查源代码第1章 什么是SQL注入 　　3.3.1 YASCA 　　3.3.2 Pixy 　　3.3.3 AppCodeScan 　　3.3.4 LAPSE 　　3.3.5 SWAAT 　　3.3.6 Microsoft SQL注入源代码分析器 　　3.3.7 CAT.NET 　　3.3.8 商业源代码复查工具 　　3.3.9 Ounce 　　3.3.10 Fortify源代码分析器 　　3.3.11 CodeSecure 　3.4 本章小结 　3.5 快速解决方案 　3.6 常见问题解答 第4章 利用SQL注入 　4.1 概述 　4.2 理解常见的利用技术 　4.3 识别数据库 　　4.3.1 非盲跟踪 　　4.3.2 盲跟踪 　4.4 使用UINON语句提取数据 　　4.4.1 匹配列 　　4.4.2 匹配数据类型 　4.5 使用条件语句 　　4.5.1 方法1：基于时间 　　4.5.2 方法2：基于错误 　　4.5.3 方法3：基于内容 　　4.5.4 处理字符串 　　4.5.5 扩展攻击 　　4.5.6 利用SQL注入错误 　　4.5.7 Oracle中的错误消息 　4.6 枚举数据库模式 　　4.6.1 SQL Server 　　4.6.2 MySQL 　　4.6.3 Oracle 　4.7 提升权限 　　4.7.1 SQL Server 　　4.7.2 Oracle 　4.8 窃取哈希口令 　　4.8.1 SQL Server 　　4.8.2 MySQL 　　4.8.3 Oracle 　4.9 带外通信 　　4.9.1 E-mail 　　4.9.2 HTTP/DNS 　　4.9.3 文件系统 　4.10 自动利用SQL注入 　　4.10.1 Sqlmap 　　4.10.2 Bobcat 　　4.10.3 BSQL 　　4.10.4 其他工具 　4.11 本章小结 　4.12 快速解决方案 　4.13 常见问题解答 第5章 SQL盲注利用 　5.1 概述 　5.2 寻找并确认SQL盲注 　　5.2.1 强制产生通用错误 　　5.2.2 注入带副作用的查询 　　5.2.3 拆分与平衡 　　5.2.4 常见的SQL盲注场景 　　5.2.5 SQL盲注技术 　5.3 使用基于时间的技术 　　5.3.1 延迟数据库查询 　　5.3.2 基于时间推断的考虑 　5.4 使用基于响应的技术 　　5.4.1 MySQL响应技术 　　5.4.2 SQL Server响应技术 　　5.4.3 Oracle响应技术 　　5.4.4 返回多位信息 　5.5 使用非主流通道 　　5.5.1 数据库连接 　　5.5.2 DNS渗漏 　　5.5.3 E-mail渗漏 　　5.5.4 HTTP渗漏 　5.6 自动SQL盲注利用 　　5.6.1 Absinthe 　　5.6.2 BSQL Hacker 　　5.6.3 SQLBrute 　　5.6.4 Sqlninja 　　5.6.5 Squeeza 　5.7 本章小结 　5.8 快速解决方案 　5.9 常见问题解答 第6章 利用操作系统 　6.1 概述 　6.2 访问文件系统 　　6.2.1 读文件 　　6.2.2 写文件 　6.3 执行操作系统命令 　6.4 巩固访问 　6.5 本章小结 　6.6 快速解决方案 　6.7 常见问题解答 　6.8 尾注 第7章 高级话题 　7.1 概述 　7.2 避开输入过滤器 　　7.2.1 使用大小写变种 　　7.2.2 使用SQL注释 　　7.2.3 使用URL编码 　　7.2.4 使用动态的查询执行 　　7.2.5 使用空字节 　　7.2.6 嵌套剥离后的表达式 　　7.2.7 利用截断 　　7.2.8 避开自定义过滤器 　　7.2.9 使用非标准入口点 　7.3 利用二阶SQL注入 　7.4 使用混合攻击 　　7.4.1 修改捕获的数据 　　7.4.2 创建跨站脚本 　　7.4.3 在Oracle上运行操作系统命令 　　7.4.4 利用验证过的漏洞 　7.5 本章小结 　7.6 快速解决方案 　7.7 常见问题解答 第8章 代码层防御 　8.1 概述 　8.2 使用参数化语句 　　8.2.1 Java中的参数化语句 　　8.2.2 .NET(C#)中的参数化语句 　　8.2.3 PHP中的参数化语句 　　8.2.4 PL/SQL中的参数化语句 　8.3 输入验证 　　8.3.1 白名单 　　8.3.2 黑名单 　　8.3.3 Java中的输入验证 　　8.3.4 .NET中的输入验证 　　8.3.5 PHP中的输入验证 　8.4 编码输出 　8.5 规范化 　8.6 通过设计来避免SQL注入的危险 　　8.6.1 使用存储过程 　　8.6.2 使用抽象层 　　8.6.3 处理敏感数据 　　8.6.4 避免明显的对象名 　　8.6.5 创建数据库Honeypot 　　8.6.6 附加的安全开发资源 　8.7 本章小结 　8.8 快速解决方案 　8.9 常见问题解答 第9章 平台层防御 　9.1 概述 　9.2 使用运行时保护 　　9.2.1 Web应用防火墙 　　9.2.2 截断过滤器 　　9.2.3 不可编辑的输入保护与可编辑的输入保护 　　9.2.4 URL策略/页面层策略 　　9.2.5 面向方面编程 　　9.2.6 应用入侵检测系统 　　9.2.7 数据库防火墙 　9.3 确保数据库安全 　　9.3.1 锁定应用数据 　　9.3.2 锁定数据库服务器 　9.4 额外的部署考虑 　　9.4.1 最小化不必要信息的泄露 　　9.4.2 提高Web服务器日志的冗余 　　9.4.3 在独立主机上部署Web服务器和数据库服务器 　　9.4.4 配置网络访问控制 　9.5 本章小结 　9.6 快速解决方案 　9.7 常见问题解答 第10章 参考资料 　10.1 概述 　10.2 SQL入门 　10.3 SQL注入快速参考 　　10.3.1 识别数据库平台 　　10.3.2 Microsoft SQL Server备忘单 　　10.3.3 MySQL备忘单 　　10.3.4 Oracle备忘单
SQL注入攻击与防御
SQL注入是Internet上最危险、最有名的安全漏洞之一，本书是目前唯一一本专门致力于讲解SQL威胁的图书。本书作者均是专门研究SQL注入的安全专家，他们集众家之长，对应用程序的基本编码和升级维护进行全面跟踪，详细讲解可能引发SQL注入的行为以及攻击者的利用要素，并结合长期实践经验提出了相应的解决方案。针对SQL注入隐蔽性极强的特点，本书重点讲解了SQL注入的排查方法和可以借助的工具，总结了常见的利用SQL漏洞的方法。另外，本书还专门从代码层和系统层的角度介绍了避免SQL注入的各种策略和需要考虑的问题。 　　本书主要内容 　　SQL注入一直长期存在，但最近有所增强。本书包含所有与SQL注入攻击相关的、当前已知的信息，凝聚了由本书作者组成的、无私奉献的SQL注入专家团队的所有深刻见解。 　　什么是SQL注入?理解它是什么以及它的基本原理 　　查找、确认和自动发现SQL注入 　　查找代码中SQL注入时的提示和技巧 　　使用SQL注入创建利用 　　通过设计来避免由SQL攻击所带来的危险 第1章 什么是SQL注入 1 1.1 概述 2 1.2 理解Web应用的工作原理 2 1.2.1 一种简单的应用架构 3 1.2.2 一种较复杂的架构 4 1.3 理解SQL注入 5 1.4 理解SQL注入的产生过程 10 1.4.1 构造动态字符串 10 1.4.2 不安全的数据库配置 16 1.5 本章小结 18 1.6 快速解决方案 18 1.7 常见问题解答 19 第2章 SQL注入测试 21 2.1 概述 22 2.2 寻找SQL注入 22 2.2.1 借助推理进行测试 22 2.2.2 数据库错误 29 2.2.3 应用响应 38 2.2.4 SQL盲注 42 2.3 确认SQL注入 45 2.3.1 区分数字和字符串 46 2.3.2 内联SQL注入 46 2.3.3 终止式SQL注入 51 2.3.4 时间延迟 59 2.4 自动寻找SQL注入 60 2.5 本章小结 68 2.6 快速解决方案 68 2.7 常见问题解答 69 第3章 复查代码中的SQL注入 71 3.1 概述 72 3.2 复查源代码中的SQL注入 72 3.2.1 危险的编码行为 74 3.2.2 危险的函数 79 3.2.3 跟踪数据 82 3.2.4 复查PL/SQL和T-SQL代码 88 3.3 自动复查源代码第1章 什么是SQL注入 94 3.3.1 YASCA 96 3.3.2 Pixy 96 3.3.3 AppCodeScan 97 3.3.4 LAPSE 97 3.3.5 SWAAT 97 3.3.6 Microsoft SQL注入源代码分析器 98 3.3.7 CAT.NET 98 3.3.8 商业源代码复查工具 98 3.3.9 Ounce 99 3.3.10 Fortify源代码分析器 100 3.3.11 CodeSecure 100 3.4 本章小结 100 3.5 快速解决方案 101 3.6 常见问题解答 102 第4章 利用SQL注入 105 4.1 概述 106 4.2 理解常见的利用技术 107 4.3 识别数据库 108 4.3.1 非盲跟踪 109 4.3.2 盲跟踪 112 4.4 使用UINON语句提取数据 113 4.4.1 匹配列 114 4.4.2 匹配数据类型 115 4.5 使用条件语句 119 4.5.1 方法1：基于时间 120 4.5.2 方法2：基于错误 122 4.5.3 方法3：基于内容 123 4.5.4 处理字符串 123 4.5.5 扩展攻击 125 4.5.6 利用SQL注入错误 126 4.5.7 Oracle中的错误消息 128 4.6 枚举数据库模式 131 4.6.1 SQL Server 131 4.6.2 MySQL 136 4.6.3 Oracle 139 4.7 提升权限 142 4.7.1 SQL Server 142 4.7.2 Oracle 147 4.8 窃取哈希口令 148 4.8.1 SQL Server 149 4.8.2 MySQL 150 4.8.3 Oracle 151 4.9 带外通信 154 4.9.1 E-mail 154 4.9.2 HTTP/DNS 157 4.9.3 文件系统 158 4.10 自动利用SQL注入 161 4.10.1 Sqlmap 161 4.10.2 Bobcat 164 4.10.3 BSQL 164 4.10.4 其他工具 166 4.11 本章小结 166 4.12 快速解决方案 167 4.13 常见问题解答 168 第5章 SQL盲注利用 171 5.1 概述 172 5.2 寻找并确认SQL盲注 173
sql注入攻击之sqlmap
手工进行sql注入对于初学者有一定的难度，本节课程针对于信息安全小白讲解怎么使用sqlmap来进行sql注入，结合前面章节将的内容可以的判断互联网上网站是否存在sql注入。
存储过程与SQL的对比？
优势: 1、提高性能 SQL语句在创建过程时进行分析和编译。 存储过程是预编译的，在首次运行一个存储过程时，查询优化器对其进行分析、优化，并给出最终被存在系统表中的存储计划，这样，在执行过程时便可节省此开销。 2、降低网络开销 存储过程调用时只需用提供存储过程名和必要的参数信息，从而可降低网络的流量。 3、便于进行代码移植 数据库专业人员可以随时对存储过程进行修改，但对应用程序源代码却毫无影响，从而极大的提高了程序的可移 植性。 4、更强的安全性 1）系统管理员可以对执行的某一个存储过程进行权限限制，避免非授权用户对数据的访问 2）在通过网络调用过程时，只有对执行过程的调用是可见的。 因此，恶
SQL查询安全性及性能优化
SQL注入的原理 什么SQL注入 将SQL代码插入到应用程序的输入参数中，之后，SQL代码被传递到数据库执行。从而达到对应用程序的攻击目的。 注入原理 常见攻击方法 检测是否可以注入【检测注入点】 示例：http://192.168.0.1/temp.aspx?id=a or 1=1-- 如果上面语句可以执行说明可以实现注入，则可以 利用系统过程、系统表注入数据库 示例【给系统添加一个用户，黑客可以实现远程登录控制服务器】：http://192.168.0.1/temp.aspx?id=1;exec xp_cmdshell 'net user admin 123456 /add' 绕过程序的限制 示例：程序中往往限制单引号的数据，但是黑客传入单引号的ASCII码 跨站点注入 在Web页面挂某些恶意的HTML、JavaScript代码 防范SQL注入 限制错误信息的输出，避免错误信息的输出使得黑客知道网站的技术实现采用什么数据库，采用什么平台 示例：在Web.config文件中设置 限制访问数据库账号的权限 在开发应用系统的时候就应该限制，给程序最小访问数据库的权限 使用参数命令传递参数 不要使用拼接字符串的方式构造SQL语句而采用参数命令 使用存储过程 存储过程在数据库中 只能执行存储过程中固定的代码 限制输入长度 防止黑客输入超大字符串，导致服务器瘫痪 防止黑客输入较长的恶意脚本等 实现方法：文本框的MaxLength属性 URL重写技术 示例： http://testWeb/news.aspx?id=111 重写成:http://testWeb/10101111.html 传递参数尽量不用字符串 http://testWeb/news.aspx?id=111 and 1=1【黑色部分给了SQL注入的机会】 SQL优化 为什么要优化 开发是对性能考虑不多【技术差、项目工期紧等原因没有考虑性能问题】 系统运行中，数据量扩大，访问量增多，蹩脚的SQL危害开始显露 低效SQL的危害 系统响应变慢，软件开发中的8秒定律，当打开一个软件或网页超过8秒时间还没有显示，则响应太慢。 死锁，当不同用户都访问某些资源的时候SQL语句不当导致死锁 客户失去信心，软件失败 低效SQL低效在哪里？  性能低下的根源  硬件原因，数据库的配置不合理，数据库的数据文件和日志文件没有分磁盘存放，会极大影响IO性能  没有建立索引，或者SQL没有走索引。在千万级数据的表上建索引是很有必要的。  SQL过于复杂，过长的SQL语句满足程序需求但是影响性能。子查询嵌套过多对性能有影响，查询关联的表特别多也影响性能  频繁访问数据等等 SQL如何被SQLServer执行的 SQL执行原理  解释：首先解释SQL语句【语法是否正确】  解析：检验语句的出现的对象是否有效【进行一个解析，要检查对象所有权的权限】  优化：【检查SQL语句是否能够使用索引，SQL语句如何执行效率高，制定一个执行计划】  编译：  执行SQL语句：【把编译过的查询要求提交并进行处理】 如何优化SQL 完善开发的管理 完善代码审核、测试机制，软件开发是艺术！ 检测SQL查询的效率 语法【对IO和Time对SQL执行进行统计】： SET STATISTICS IO ON SET STATISTICS TIME ON ------------SQL代码--------- SET STATISTICS IO OFF SET STATISTICS TIME OFF 注意：在检测之前要清理缓存，因为当我们执行SQL语句的时候查出的数据会在数据库中进行缓存，重新查询会返回缓存中的信息。 DBCC DROPCLEANBUFFERS DBCC FREEPROCCACHE 经验：使用子查询嵌套不要过多，尽量使用表连接查询代替子查询，因为表连接查询效率稍高一点。 SQL优化工具 使用报表服务 通过Reporting Service查找低效SQL 选择 性能 - 批处理执行统计信息和性能相关的几个报表服务： 性能 - 对象执行统计信息 性能 - 按平均CPU时间排在前面的查询 性能 - 按平均IO次数排在前面的查询 性能 - 按总CPU时间排在前面的查询 性能 - 按IO总次数排在前面的查询 操作示范： 1. 数据引擎上点击右键—报表—标准报表—关心的
.NET社区

62,046

社区成员

669,049

社区内容

发帖
与我相关
我的任务
社区描述
.NET技术交流专区
javascript云原生 企业社区
社区管理员
  • ASP.NET
  • .Net开发者社区
  • R小R
加入社区
  • 近7日
  • 近30日
  • 至今

加载中

查看更多榜单
社区公告

.NET 社区是一个围绕开源 .NET 的开放、热情、创新、包容的技术社区。社区致力于为广大 .NET 爱好者提供一个良好的知识共享、协同互助的 .NET 技术交流环境。我们尊重不同意见，支持健康理性的辩论和互动，反对歧视和攻击。

希望和大家一起共同营造一个活跃、友好的社区氛围。

试试用AI创作助手写篇文章吧

+ 用AI写文章