什么是 SQL 注入以及如何避免？

SQLi 是一种代码注入技术，可使攻击者修改应用程序向数据库提供的查询。迄今为止，最常见和最严重的网络应用程序安全威胁总是隐藏在与数据库有某些连接的网络应用程序中。通过这种 SQL 注入，攻击者可以绕过登录程序，获取、更改甚至更新数据库，执行管理程序，或进行其他变种操作。

了解 SQL 注入

要解释什么是 SQL 注入，就必须了解 SQL 的一些基本原理。事实上，它已成为处理和虚拟操作这些数据库的通用语言。它用于查询、插入、更新和删除数据库记录，几乎所有网络应用程序都使用它来访问数据库；它可以在 PHP、 Python、 Java、 PIA Utah VPN 和 . NET中编写。

在网络应用程序中，用户需要通过表单、搜索框或 URL 等方式在系统中输入信息，所有这些输入信息通常都用于动态构建 SQL 查询。这是因为，如果用户输入的 SQL 查询字符串没有经过适当的检查和消毒，攻击者就可以通过在预期的 SQL 查询字符串中注入恶意 SQL 语句来改变 SQL 查询字符串的性质。

SQL 注入示例

举例来说，在登录一个典型的网络应用程序时，用户需要输入用户名和密码。用来验证凭据的实际 SQL 查询如下：

SELECT * FROM users WHERE username = 'user_input' AND password = 'password_input';

如果应用程序直接使用用户的输入值而不进行任何消毒处理，攻击者就可以输入类似这样的内容。

用户名：' OR '1'='1
密码：' OR '1'='1

由此产生的 SQL 查询将是

SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '' OR '1'='1';

这样，攻击者就能绕过验证码，畅通无阻地访问系统 。

左侧部分（SQL 注入类型）	右侧部分（SQL 注入的后果）
经典 SQL 注入：恶意用户修改输入以转换有效的 SQL 语句。	数据盗窃：攻击者还可以窃取敏感数据，如用户凭证、信用卡号和其他个人信息。
盲 SQL 注入：黑客通过观察应用程序的行为，即使没有得到直接响应，也能找出查询结构。	数据操纵：攻击者有能力更改或删除信息，从而导致数据可靠性问题。
基于错误的 SQL 注入：攻击者利用数据库显示的错误信息泄露信息。	身份验证绕过：攻击者可在未经授权的情况下访问系统。
基于时间的 SQL 注入：攻击者根据应用程序的响应时间推断查询结构。	拒绝服务（DoS）：攻击者可通过复杂的查询使数据库超载，导致用户无法使用应用程序。
	完全数据库控制：在极端情况下，攻击者可以获得对数据库的完全控制权，从而导致系统完全崩溃。

阻止 SQL 注入的方法

为防止 SQL 注入，您需要遵循编码准则、正确管理数据库并实施安全措施。以下是一些降低 SQL 注入风险的策略：

1.使用预处理语句（参数化查询）

预处理语句确保用户输入纯粹作为数据处理，而不是作为 SQL 命令的组成部分。
这种方法允许数据库区分 SQL 查询结构和数据本身，确保任何输入都不能修改查询结构。

例如，在 PHP 中使用 PDO（PHP 数据对象）：

$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username AND password = :password');

$stmt->execute(['username' => $username_input, 'password' => $password_input]);

在本例中，:username和:password是用户输入的占位符，它们会被用户提供的实际值安全地替代。数据库引擎将输入作为纯数据处理，因此任何恶意输入都不会造成危害。

2.输入验证和消毒

始终对用户输入进行验证和消毒，确保其符合预期格式。例如，如果输入应该是一个整数，那么在处理之前就应该检查数据类型。

在 Python 中，您可能会使用正则表达式来验证输入：

import re



def validate_input(user_input):

    if re.match("^[a-zA-Z0-9_]+$", user_input):

        return True

    else:

        return False

该功能只允许使用字母数字字符和下划线，从而降低了 SQL 注入的风险。

3.使用 ORM（对象关系映射）库

ORM 库抽象了数据库交互，允许开发人员使用编程语言语法与数据库交互，而不是直接使用 SQL 查询。
通过自动安全地处理查询构造，这一抽象本质上可防止 SQL 注入。

例如，在Django（一种 Python 网络框架）中，你不需要编写原始 SQL，而是像这样与数据库交互：

user = User.objects.get(username=user_input)

Django 的 ORM 可自动处理查询结构并防止 SQL 注入。

4.限制数据库权限

只授予应用程序必要的最低数据库权限。如果应用程序不需要删除记录，就不要授予它DELETE权限。这种最小权限原则可以减少攻击者发现 SQL 注入漏洞时造成的破坏。

5.使用网络应用防火墙（WAF）

WAF 可以在恶意输入到达应用程序之前将其过滤掉，从而检测并阻止常见的 SQL 注入尝试。WAF 是一个额外的安全层，是对编码实践的补充。

6.错误处理和报告

避免向最终用户显示详细的数据库错误信息。相反，在服务器端记录这些错误，并向用户显示通用错误信息。这种做法可以防止攻击者深入了解你的数据库结构。

在 .NET 中，您可以使用 try-catch 块来处理 SQL 错误：

try

{

    // Database operations

}

catch (SqlException ex)

{

    // Log error details

    Logger.Log(ex);

    // Show a generic message to the user

    Response.Write("An error occurred. Please try again later.");

}