08web編程安全(參考版)
2025-01-27 13:40本頁面
【正文】 2023年 2月 13日星期一 2時(shí) 6分 49秒 02:06:4913 February 2023 ? 1一個(gè)人即使已登上頂峰，也仍要自強(qiáng)不息。 2023年 2月 13日星期一 上午 2時(shí) 6分 49秒 02:06: ? 1最具挑戰(zhàn)性的挑戰(zhàn)莫過于提升自我。勝人者有力，自勝者強(qiáng)。 :06:4902:06Feb2313Feb23 ? 1越是無能的人，越喜歡挑剔別人的錯(cuò)兒。 , February 13, 2023 ? 閱讀一切好書如同和過去最杰出的人談話。 2023年 2月 13日星期一 2時(shí) 6分 49秒 02:06:4913 February 2023 ? 1空山新雨后，天氣晚來秋。 。 :06:4902:06:49February 13, 2023 ? 1意志堅(jiān)強(qiáng)的人能把世界放在手中像泥塊一樣任意揉捏。 :06:4902:06Feb2313Feb23 ? 1世間成事，不求其絕對圓滿，留一份不足，可得無限完美。 , February 13, 2023 ? 很多事情努力了未必有結(jié)果，但是不努力卻什么改變也沒有。 2023年 2月 13日星期一 2時(shí) 6分 49秒 02:06:4913 February 2023 ? 1做前，能夠環(huán)視四周；做時(shí)，你只能或者最好沿著以腳為起點(diǎn)的射線向前。 。 :06:4902:06:49February 13, 2023 ? 1他鄉(xiāng)生白發(fā)，舊國見青山。 :06:4902:06Feb2313Feb23 ? 1故人江海別，幾度隔山川。 , February 13, 2023 ? 雨中黃葉樹，燈下白頭人。 ? 8：可以使用專業(yè)的漏洞掃描工具來尋找可能被攻擊的漏洞。 ? 6：對數(shù)據(jù)庫查詢中的出錯(cuò)信息進(jìn)行屏蔽，盡量減少攻擊者根據(jù)數(shù)據(jù)庫的查詢出錯(cuò)信息來猜測數(shù)據(jù)庫特征的可能。 防范方法 ? 5：對于數(shù)據(jù)庫敏感的、重要的數(shù)據(jù)，不要以明文顯示，要進(jìn)行加密。這樣，即使在收到 SQL注入攻擊時(shí)，有一些對數(shù)據(jù)庫危害較大的工作，如 DROP TABLE語句，也不會(huì)被執(zhí)行， ? 4：多層架構(gòu)下的防治策略。 ? 3：嚴(yán)格區(qū)分?jǐn)?shù)據(jù)庫訪問權(quán)限?？梢岳靡恍┦侄危瑴y試輸入字符串變量的內(nèi)容，定義一個(gè)格式為只接受的格式，只有此種格式下的數(shù)據(jù)才能被接受，拒絕其他輸入的內(nèi)容。很多其他的攻擊，如DoS等，可能通過防火墻等手段進(jìn)行阻攔，但是而對于 SQL 注入攻擊，由于注入訪問是通過正常用戶端進(jìn)行的，所以普通防火墻對此不會(huì)發(fā)出警示，一般只能通過程序來控制，而SQL攻擊一般可以直接訪問數(shù)據(jù)庫進(jìn)而甚至能夠獲得數(shù)據(jù)庫所在的服務(wù)器的訪問權(quán)，因此，危害相當(dāng)嚴(yán)重。 危害性大 由于 SQL 注入攻擊一般利用的是利用的是 SQL 語法，這使得于所有基于 SQL 語言標(biāo)準(zhǔn)的數(shù)據(jù)庫軟件，如 SQL Server，Oracle， MySQL, DB2等都有可能受到攻擊，并且攻擊的發(fā)生和 Web編程語言本身也無關(guān)，如 ASP、 JSP、 PHP，在理論上都無法完全幸免。 提示： 該攻擊中，數(shù)據(jù)庫中表名 STUDENTS可以通過猜測的方法得到，如果猜測不準(zhǔn)確，那就沒辦法攻擊了。 更有甚者，可以在文本框內(nèi)輸入：“ %39。 該語句中，也會(huì)將 STUDENTS中所有的內(nèi)容顯示出來。比如，客戶輸入：“ %?”： 查詢顯示的結(jié)果為： 該程序中， 表示注釋，因此，真正運(yùn)行的 SQL語句是： SELECT * FROM STUDENTS WHERE STUNAME LIKE 39。如果什么都不輸入，提交，效果為： 說明該程序不允許無條件的模糊查詢。 運(yùn)行，效果如下： 在文本框內(nèi)輸入查詢信息，提交，能夠到達(dá) 。比如，有一個(gè)頁面，可以對學(xué)生的姓名(STUNAME)從 STUDENTS表中進(jìn)行模糊查詢：同樣，為了將問題簡化，我們僅僅將其 SQL打印出來供大家分析。網(wǎng)站受到了SQL注入的攻擊。aa39。aa39。 OR 1=1 39。比如，客戶輸入賬號(hào)為：“ aa? OR 1=1 ”，密碼隨便輸入，如“ aa”： 查詢顯示的結(jié)果為： 該程序中， SQL語句為： SELECT * FROM USERS WHERE ACCOUNT=39。 運(yùn)行 ，輸入正常數(shù)據(jù) (如 guokehua， guokehua)： 提交，顯示的結(jié)果是： 熟悉 SQL的讀者可以看到，該結(jié)果沒有任何問題，數(shù)據(jù)庫將對該輸入進(jìn)行驗(yàn)證，看能否返回結(jié)果，如果有，表示登錄成功，否則表示登錄失敗。 詳見代碼 。 為了讓讀者了解 SQL注入，首先我們舉一個(gè)簡單的例子。 4 SQL注入 SQL注入的原理 SQL注入在英文中稱為 SQL Injection，是黑客對 Web數(shù)據(jù)庫進(jìn)行攻擊的常用手段之一。可以通過一定的手段，不時(shí)地變更用戶的 sessionId； 2：在客戶端，應(yīng)該在瀏覽器關(guān)閉時(shí)刪除服務(wù)器端的 session，也就是說在關(guān)閉時(shí)必須通知服務(wù)器端。 雖然 sessionId是隨機(jī)的長字符串，通常比較難被猜測到，這在某種程度上可以加強(qiáng)其安全性，但是一旦被攻擊者獲得，就可以進(jìn)行一些攻擊活動(dòng)，如： 攻擊者獲取客戶 sessionId，然后攻擊者自行偽造一個(gè)相同的 sessionId，訪問服務(wù)器，實(shí)際上等價(jià)于偽裝成該用戶進(jìn)行操作。 但是令人遺憾的是，客戶在關(guān)閉瀏覽器時(shí)，一般不會(huì)通知服務(wù)器。其實(shí)不然，瀏覽器關(guān)閉，會(huì)話結(jié)束，對于客戶端來說，已經(jīng)無法直接再訪問原來的那個(gè) session，但并不代表 session在服務(wù)器端會(huì)馬上消失。 存在的問題 session機(jī)制最大的不安全因素是 sessionId可以被攻擊者截獲，如果攻擊者通過一些手段知道了 sessionId，由于sessionId是客戶端尋找服務(wù)器端 session對象的唯一標(biāo)識(shí)，攻擊者就有可能根據(jù) sesionId來訪問服務(wù)器端的 session對象，得知 session中的內(nèi)容，從而實(shí)施攻擊。 session經(jīng)常用于保存用戶登錄狀態(tài)。 點(diǎn)擊鏈接之后，效果為： 可見，也可以實(shí)現(xiàn)頁面之間數(shù)據(jù)的傳遞。以 JSP為例，本節(jié)的例子也可以用 session方法來做，首先是sessionP1。但是對于不同客戶來說，每個(gè)人的
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1