Java安全編碼SQL該怎樣注入

Java安全編碼SQL該怎樣注入，針對(duì)這個(gè)問(wèn)題，這篇文章詳細(xì)介紹了相對(duì)應(yīng)的分析和解答，希望可以幫助更多想解決這個(gè)問(wèn)題的小伙伴找到更簡(jiǎn)單易行的方法。

為鼓樓等地區(qū)用戶提供了全套網(wǎng)頁(yè)設(shè)計(jì)制作服務(wù)，及鼓樓網(wǎng)站建設(shè)行業(yè)解決方案。主營(yíng)業(yè)務(wù)為成都做網(wǎng)站、網(wǎng)站建設(shè)、鼓樓網(wǎng)站設(shè)計(jì)，以傳統(tǒng)方式定制建設(shè)網(wǎng)站，并提供域名空間備案等一條龍服務(wù)，秉承以專業(yè)、用心的態(tài)度為用戶提供真誠(chéng)的服務(wù)。我們深信只要達(dá)到每一位用戶的要求，就會(huì)得到認(rèn)可，從而選擇與我們長(zhǎng)期合作。這樣，我們也可以走得更遠(yuǎn)！

隨著互聯(lián)網(wǎng)的發(fā)展，Java語(yǔ)言在金融服務(wù)業(yè)、電子商務(wù)、大數(shù)據(jù)技術(shù)等方面的應(yīng)用極其廣泛。Java安全編碼規(guī)范早已成為SDL中不可或缺的一部分。本文以Java項(xiàng)目廣泛采用的兩個(gè)框架Hibernate和MyBatis  為例來(lái)介紹，如何在編碼過(guò)程中避免SQL注入的幾種編碼方法，包括對(duì)預(yù)編譯的深度解析，以及對(duì)預(yù)編譯理解的幾個(gè)“誤區(qū)”進(jìn)行了解釋。

目前Hibernate和MyBatis為java項(xiàng)目廣泛采用的兩個(gè)框架。由于Hibernate使用方便，以前的項(xiàng)目采用Hibernate非常的廣泛，但是后面由于Hibernate的侵入式特性，后面慢慢被MyBatis所取代  。下面我們會(huì)以SpringBoot為基礎(chǔ)，分別搭建Hibernate和MyBatis的漏洞環(huán)境。

2. 配置說(shuō)明

SpringBoot采用2.3.1.RELEASE，MySQL版本為5.7.20。數(shù)據(jù)庫(kù)有一張表user_tbl。數(shù)據(jù)如下：

Java安全編碼SQL該怎樣注入

3. Hibernate

Hibernate 是一個(gè)開(kāi)放源代碼的對(duì)象關(guān)系映射框架，它對(duì) JDBC 進(jìn)行了非常輕量級(jí)的對(duì)象封裝，是一個(gè)全自動(dòng)的 ORM 框架。Hibernate  自動(dòng)生成 SQL 語(yǔ)句，自動(dòng)執(zhí)行。

(1) 環(huán)境搭建

結(jié)構(gòu)如下，ctl為控制層，service為服務(wù)層，dao為持久層。為了方便沒(méi)有按照標(biāo)準(zhǔn)的接口實(shí)現(xiàn)，我們只關(guān)注漏洞的部分。

Java安全編碼SQL該怎樣注入

Beans下User.java對(duì)用為user_tbl表結(jié)構(gòu)。

Java安全編碼SQL該怎樣注入

我們使用/inject 接口,p為接受外部的參數(shù)，來(lái)查詢User的列表，使用fastjson來(lái)格化式輸出。

Java安全編碼SQL該怎樣注入

我們回到dao層。

1)SQL注入

SQL注入我們使用字符串拼接方式：

Java安全編碼SQL該怎樣注入

訪問(wèn)http://localhost:8080/inject?p=m 直接用SQLMap跑一下：

Java安全編碼SQL該怎樣注入

很容易就注入出數(shù)據(jù)來(lái)了。

2)HQL注入

HQL(Hibernate Query Language)是Hibernate專門用于查詢數(shù)據(jù)的語(yǔ)句，有別于SQL，HQL  更接近于面向?qū)ο蟮乃季S方式。表名就是對(duì)應(yīng)我們上面的entity配置的。HQL注入利用比SQL注入利用難度大，比如一般程序員不會(huì)對(duì)系統(tǒng)表進(jìn)行映射，那么通過(guò)系統(tǒng)表獲取屬性的幾乎不可能的，同時(shí)由于HQL對(duì)于復(fù)雜的語(yǔ)句支持比較差，對(duì)攻擊者來(lái)說(shuō)需要花費(fèi)更多時(shí)間去構(gòu)造可用的payload，更多詳細(xì)的語(yǔ)法可以參考：

https://docs.huihoo.com/Hibernate/reference-v3_zh-cn/queryhql.html

Java安全編碼SQL該怎樣注入

3)預(yù)編譯

我們使用setParameter的方式，也就是我們熟知的預(yù)編譯的方式。

Query query = (Query) this.entityManager.createQuery("from User u where u.userName like :userName ",User.class);  query.setParameter("userName","%"+username+"%");

訪問(wèn)http://localhost:8080/inject?p=m后得到正常結(jié)果。

Java安全編碼SQL該怎樣注入

執(zhí)行注入語(yǔ)句：

http://localhost:8080/inject?p=m’ or ‘1’ like ‘1 返回為空。

Java安全編碼SQL該怎樣注入

我們來(lái)看看setParameter的方式到底對(duì)我們的SQL語(yǔ)句做了什么。我們將斷點(diǎn)打至Loader.class的bindPreparedStatement。發(fā)現(xiàn)通過(guò)預(yù)編譯后，SQL變?yōu)榱耍?/p>

select user0_.id as id1_0_, user0_.password as password2_0_, user0_.username as username3_0_ from user_tbl user0_ where user0_.username like '%'' or ''1'' like ''1%'，

然后交給hikari處理。發(fā)現(xiàn)將我們的單引號(hào)變成了兩個(gè)單引號(hào)，也就是說(shuō)把傳入的數(shù)據(jù)變?yōu)樽址?/p>

Java安全編碼SQL該怎樣注入

將斷點(diǎn)斷至mysql-connector-java(也就是我們熟知的JDBC驅(qū)動(dòng)包)的ClientPreparedQueryBindings.setString.這里就是參數(shù)設(shè)置的地方。

Java安全編碼SQL該怎樣注入

看一下算法：

String parameterAsString = x;              boolean needsQuoted = true;              if (this.isLoadDataQuery || this.isEscapeNeededForString(x, stringLength)) {                  needsQuoted = false;                  StringBuilder buf = new StringBuilder((int)((double)x.length() * 1.1D));                  buf.append('\'');                  for(int i = 0; i < stringLength; ++i) {                      char c = x.charAt(i);                      switch(c) {                      case '\u0000':                          buf.append('\\');                          buf.append('0');                          break;                      case '\n':                          buf.append('\\');                          buf.append('n');                          break;                      case '\r':                          buf.append('\\');                          buf.append('r');                          break;                      case '\u001a':                          buf.append('\\');                          buf.append('Z');                          break;                      case '"':                          if (this.session.getServerSession().useAnsiQuotedIdentifiers()) {                              buf.append('\\');                          }                          buf.append('"');                          break;                      case '\'':                          buf.append('\'');                          buf.append('\'');                          break;                      case '\\':                          buf.append('\\');                          buf.append('\\');                          break;                      case '&yen;':                      case '?':                          if (this.charsetEncoder != null) {                              CharBuffer cbuf = CharBuffer.allocate(1);                              ByteBuffer bbuf = ByteBuffer.allocate(1);                              cbuf.put(c);                              cbuf.position(0);                              this.charsetEncoder.encode(cbuf, bbuf, true);                              if (bbuf.get(0) == 92) {                                  buf.append('\\');                              }                          }                          buf.append(c);                          break;                      default:                          buf.append(c);                      }                  }                  buf.append('\'');

可以看到mysql-connector-java主要是將將我們&rsquo;轉(zhuǎn)為了&rsquo;&rsquo;,對(duì)于轉(zhuǎn)義的\會(huì)變?yōu)閈\,比如對(duì)于這種SQL：

SELECT user0_.id AS id1_0_,user0_. PASSWORD AS password2_0_,user0_.username AS username3_0_  FROM user_tbl user0_ WHERE user0_.username LIKE '%\' or username = 0x6d #%'

也會(huì)變?yōu)椋?/p>

SELECT user0_.id AS id1_0_,user0_. PASSWORD AS password2_0_,user0_.username AS username3_0_  FROM user_tbl user0_ WHERE user0_.username LIKE '%\\'' or username = 0x6d #%'

有人會(huì)說(shuō)那我們使用select * from user_tbl where id = 1 and user() =  0x726f6f74406c6f63616c686f7374  這種類似的語(yǔ)句，全程沒(méi)有jdbc里面的危險(xiǎn)字符是不是就可以繞過(guò)了?mysql-connector-java里面有個(gè)非常巧妙的點(diǎn)是，他會(huì)根據(jù)你傳入的類型判斷。比如傳入的為int類型。就會(huì)走setInt。傳入的為string就會(huì)走setString。所以這段語(yǔ)句還是會(huì)被select  * from user_tbl where id = 1 &lsquo;and user() = 0x726f6f74406c6f63616c686f7374&rsquo;

我們看到SQL預(yù)編譯的算法也是非常簡(jiǎn)單。

4. MyBatis

MyBatis是一流的持久性框架，支持自定義SQL，存儲(chǔ)過(guò)程和高級(jí)映射。MyBatis可以使用簡(jiǎn)單的XML或注釋進(jìn)行配置?，F(xiàn)在目前國(guó)內(nèi)大部分公司都是采用的MyBatis框架。

(1) 環(huán)境搭建：

下面為我們項(xiàng)目目錄結(jié)構(gòu)：

Java安全編碼SQL該怎樣注入

(2) 使用#{}的方式

#{}也就是我們熟知的預(yù)編譯方式。

Java安全編碼SQL該怎樣注入

訪問(wèn)http://localhost:8080/getList?p=m 后正常的返回：

Java安全編碼SQL該怎樣注入

使用http://localhost:8080/getList?p=m' or &lsquo;1&rsquo; like &lsquo;1

結(jié)果返回為空。不存在注入。

我們將斷點(diǎn)斷在PreparedStatementLogger的invoke方法上面，其實(shí)這里就是一個(gè)代理方法。這里我們看到完整的SQL語(yǔ)句。

Java安全編碼SQL該怎樣注入

同樣我們將斷點(diǎn)斷在：ClientPreparedQueryBindings.setString同樣會(huì)進(jìn)去

Java安全編碼SQL該怎樣注入

Hibernate和MyBatis的預(yù)編譯機(jī)制是一樣的。

(3) 使用${}的方式

${}的方式也就是MyBatis的字符串連接方式。

Java安全編碼SQL該怎樣注入

使用SQLMap很容易就能跑出數(shù)據(jù)：

Java安全編碼SQL該怎樣注入

(4) 關(guān)于OrderBy

之前有聽(tīng)人說(shuō)Order By后面的語(yǔ)句是不會(huì)參與預(yù)編譯?這句話是錯(cuò)誤的。Order  By也是會(huì)參與預(yù)編譯的。從我們上面的jdbc的setString算法可以看到，是因?yàn)閟etString會(huì)在參數(shù)的前后加上&rsquo;&rsquo;，變成字符串。導(dǎo)致Order  By失去了原本的意義。只能說(shuō)是預(yù)編譯方式的Order By不適用而已。所以對(duì)于這種Order By的防御的話建議是直接寫(xiě)死在代碼里面。對(duì)于Order  By方式的注入我們可以通過(guò)返回?cái)?shù)據(jù)的順序的不同來(lái)獲取數(shù)據(jù)。

Java安全編碼SQL該怎樣注入

(5) 關(guān)于useServerPrepStmts

其實(shí)在只有JDBC在開(kāi)啟了useServerPrepStmts=true的情況下才算是真正的預(yù)編譯。但是如果是字符串的拼接方式，預(yù)編譯是沒(méi)有效果的。從MySQL的查詢?nèi)罩揪涂梢蚤_(kāi)看到?？梢钥吹絇repare的語(yǔ)句。一樣是存在SQL注入的。

Java安全編碼SQL該怎樣注入

我們使用占位符的方式：

Java安全編碼SQL該怎樣注入

上面的語(yǔ)句就不存在SQL注入了。

我想這就是JDBC默認(rèn)為啥不開(kāi)啟useServerPrepStmts=true的原因吧。

關(guān)于Java安全編碼SQL該怎樣注入問(wèn)題的解答就分享到這里了，希望以上內(nèi)容可以對(duì)大家有一定的幫助，如果你還有很多疑惑沒(méi)有解開(kāi)，可以關(guān)注創(chuàng)新互聯(lián)行業(yè)資訊頻道了解更多相關(guān)知識(shí)。

名稱欄目：Java安全編碼SQL該怎樣注入
URL網(wǎng)址：http://muchs.cn/article14/pgdjge.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站設(shè)計(jì)、網(wǎng)站建設(shè)、企業(yè)建站、手機(jī)網(wǎng)站建設(shè)、網(wǎng)站營(yíng)銷、營(yíng)銷型網(wǎng)站建設(shè)

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)

成都seo排名網(wǎng)站優(yōu)化