開發(fā)代碼安全規(guī)范-防sql注入和xss跨站攻擊代碼編寫規(guī)范(編輯修改稿)
2025-08-20 16:17 本頁面
【文章內(nèi)容簡介】 但是如果被惡意攻擊，那么可以傳不符合業(yè)務(wù)預期的參數(shù)，對后端數(shù)據(jù)庫造成損害。如：order by FeeStamp Desc union select username, password, 1, 2, 3 from users*注：此處假設(shè)存在 users 數(shù)據(jù)表，并且有username 和 password 的列數(shù)據(jù)。實例2：參數(shù)傳遞完整 SQL 語句數(shù)據(jù)來源：某線上業(yè)務(wù)被攔截數(shù)據(jù)數(shù)據(jù)日期：20151021數(shù)據(jù)內(nèi)容：HTTP 請求的 BODY攔截處理截圖：案例分析：在這個案例中，HTTP Body 是常見的 application/xformurlencoded 類型。其中 DBName 參數(shù)的值是 dev，sql 參數(shù)的值是：select ,, from tabpayout_sheet a left join TabPayOut_Basket b on = where in (605641737)這里開發(fā)人員為了業(yè)務(wù)的便利性，直接從客戶端將完整 SQL 語句通過 HTTP 請求發(fā)送給后端。這也是非常典型的 SQL 注入點，對于惡意攻擊的黑客來說，可以構(gòu)造惡意 SQL 語句請求給后端，從而達到惡意獲取數(shù)據(jù)、修改數(shù)據(jù)、毀壞數(shù)據(jù)的目的，甚至如果權(quán)限設(shè)置不合理的話，惡意攻擊的黑客可能從該注入點獲取服務(wù)器管理權(quán)限。 SQL注入危害：l 敏感數(shù)據(jù)被獲取(cookie盜取)l 網(wǎng)絡(luò)釣魚l 獲取 web 用戶的網(wǎng)頁內(nèi)容l Session Riding(CSRF 攻擊)l 獲取用戶的鍵
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1