一、注入
注入攻击漏洞，例如SQL，OS 以及 LDAP注入。这些攻击发生在当不可信的数据作为命令或 者查询语句的一部分，被发送给解释器的时候。攻击者发送的恶意数据可以欺骗解释器，以执行计划外的命令或者在未被恰当授权时访问数据。
- SQL注入
- 漏洞利用演示
- 漏洞危害说明
SQL注入攻击成功后，可导致用户数据库中存储的机密数据被窃取，更改，删除，或者上传木马文件，甚至执行系统命令以进一步获取服务器权限等。
- 漏洞代码分析
处理用户登录的后台代码主要如下：(左右滑动查看代码）
publicbooleancheck_Sql_Login(String ipaddr) throws Exception {getConnection();String name = loginuser.getName();String passwd_page = loginuser.getPassword();boolean flag = false; // 默认返回值是falseMd5Util md5 = new Md5Util();String passwd =md5.getMD5(passwd_page.getBytes());// 拼凑的SQL语句，存在注入风险String sql = "selectname from user where name=" + "'" + name + "'" + " andpassword=" + "'" + passwd + "'";System.out.println("登录页面，拼凑SQL语句： " + sql);try {java.sql.Statement st = conn.createStatement();rs =st.executeQuery(sql);if (rs.next()) {flag = true;} else {flag = false;}st.close();System.out.println("登录页面查询结果" + "db.java.check_Sql_Login():" + flag);} catch (Exceptione) {e.printStackTrace();} finally {out.close();conn.close();}return flag;}
如果用户名tmp已经存在，输入tmp‘#即可。
如果用户名不存在，继续构建条件为true的语句，如xxx’ or 1=1or ‘1’=’1。
调试输出分别如下：
登录页面，拼凑SQL语句1： select name from user where name=’tmp’#’ andpassword=’d41d8cd98f00b204e9800998ecf8427e’
登录页面查询结果db.java.check_Sql_Login(): true
登录页面，拼凑SQL语句1： select name from user where name=’xxxxx’ or1=1 or ‘1’=’1′ and password=’d41d8cd98f00b204e9800998ecf8427e’
登录页面查询结果db.java.check_Sql_Login(): true
- 漏洞代码修复
防止SQL注入可使用：(左右滑动查看代码）
a.推荐使用预编译语句，通过prepared Statements类的set方法对参数进行检测；
publicbooleancheck_Presql_Login() throws Exception {getConnection();String name = loginuser.getName();String passwd = loginuser.getPassword();boolean flag = false;//定义执行的SQL代码//区分data和codeString sql = "select* from user where name=" + "?" + " andpassword=" + "?";pst = conn.prepareStatement(sql);pst.setString(1,name);Md5Util md5 = new Md5Util();passwd = md5.getMD5(passwd.getBytes());pst.setString(2,passwd);System.out.println("登录页面，预编译SQL语句： " + sql);rs = pst.executeQuery();if (rs.next()) {flag = true;} else {flag = false;}rs.close();System.out.println("登录页面查询结果" + "db.java.check_Presql_Login():" + flag);return flag;}
b.使用ESAPI提供的方法；(左右滑动查看代码）
publicbooleancheck_EsapiSql_Login() throws Exception {getConnection();String name = loginuser.getName();String passwd = loginuser.getPassword();boolean flag = false; // 默认返回值是falseMd5Util md5 = new Md5Util();passwd = md5.getMD5(passwd.getBytes());Codec mysqlCodec = newMySQLCodec(MySQLCodec.MYSQL_MODE);String esapi_name = ESAPI.encoder().encodeForSQL(mysqlCodec,name);String esapi_passwd = ESAPI.encoder().encodeForSQL(mysqlCodec,passwd);// 拼凑的SQL语句，存在注入风险String sql = "selectname from user where name=" + "'" +esapi_name + "'" + " andpassword=" + "'" + esapi_passwd+ "'";try {java.sql.Statement st = conn.createStatement();rs =st.executeQuery(sql);if (rs.next()) {flag = true;} else {flag = false;}st.close();System.out.println("登录页面查询结果" + "db.java.check_Sql_Login():"+ flag);} catch (Exceptione) {e.printStackTrace();} finally {out.close();conn.close();}return flag;}
c.自定义过滤方法；
1)自定义过滤方法(左右滑动查看代码）
protectedstaticboolean sqlValidate(String str) {str = str.toLowerCase();//统一转为小写String badStr = "'|and|exec|execute|insert|select|delete|update|count|drop|*|%|chr|mid|master|truncate|" +"char|declare|sitename|netuser|xp_cmdshell|;|or|-|+|,|like'|and|exec|execute|insert|create|drop|" +"table|from|grant|use|group_concat|column_name|" +"information_schema.columns|table_schema|union|where|select|delete|update|order|by|count|*|" +"chr|mid|master|truncate|char|declare|or|;|-|--|+|,|like|//|/|%|#";//过滤掉的sql关键字，可以手动添加String[] badStrs = badStr_miss.split("\|");for (int i = 0; i< badStrs.length; i++) {if(str.indexOf(badStrs[i]) >= 0) {System.out.println("发现非法字符："+badStrs[i]);returntrue;}}returnfalse;}
2)对用户输入进行过滤(左右滑动查看代码）
publicboolean check_ValidSql_Login() throws Exception {getConnection();String name = loginuser.getName();String passwd = loginuser.getPassword();boolean flag = false; // 默认返回值是falseMd5Util md5 = new Md5Util();passwd = md5.getMD5(passwd.getBytes());// 拼凑的SQL语句，存在注入风险String sql = "selectname from user where name=" + "'" + name + "'" + " andpassword=" + "'" + passwd + "'";if (sqlValidate(name)){System.out.println("登录页面，拼凑SQL语句： " + sql);} else {try {java.sql.Statement st = conn.createStatement();rs = st.executeQuery(sql);if (rs.next()) {flag = true;} else {flag = false;}st.close();System.out.println("登录页面查询结果" + "db.java.check_Sql_Login():" + flag);} catch (Exceptione) {e.printStackTrace();} finally {out.close();conn.close();}}return flag;}
作者：王爱华 新钛云服安全架构师
二十年IT行业安全咨询、安全技术和安全管理经验，拥有安全行业CISSP、CISA认证，曾任浦东中软、络安、盛大网络、平安付、沪江网等公司安全咨询顾问、安全经理、高级安全研究员、安全架构师职位。处理过互联网公司各类安全问题，包括信息基础架构安全，应用架构和代码安全，应用运维安全，数据安全和灾难恢复等。熟悉ISO17799、等级保护、PCI-DSS、SOX等信息安全标准规范，具有支付牌照、等级保护、PCI认证的申请、实施和年审经验。熟悉Shell、Python、Java等语言，曾负责搭建metron开源大数据平台，单独开发OWASP TOP 10安全演示平台和企业信息安全管理平台等。
