asp.net如何防止sql注入

~

SQL注入攻击和预防

关于SQL注入攻击及防范

随着网络的普及和关系数据库的广泛应用，网络安全变得越来越重要。下面，我为你搜索整理了SQL注入的攻击和防范。请参考并阅读。希望对你有帮助。更多信息请关注我们的应届毕业生培训网！

一.SQL注入袭击

简而言之，SQL注入是应用程序开发人员在应用程序中意外引入SQL代码的过程。其应用程序的糟糕设计使之成为可能，只有那些直接使用用户提供的值来构建SQL语句的应用程序才会受到影响。

例如，在用户输入客户ID后，GridView显示该客户的所有行记录。在更真实的情况下，用户必须输入密码等认证信息，或者根据之前的登录页面获取用户ID。还可能有一些文本框供用户输入关键信息，如订单的日期范围或产品名称。问题是如何执行命令。在这个例子中，SQL语句是通过字符串构造技术动态创建的。文本框txtID的值被直接复制到字符串中。代码如下:

在本例中，攻击者可以篡改SQL语句。通常，攻击的第一个目标是获取错误信息。如果错误处理不当，底层信息将暴露给攻击者。该信息可用于进一步的攻击。

例如，想象一下当您在文本框中输入以下字符串时会发生什么。

阿尔弗基或者1=一个

查看结果生成的完整SQL语句:

该语句将返回所有订单记录，即使这些订单不是由ALFDI创建的，因为对于每一行，1=1始终为真。这样做的后果是不显示当前用户的具体信息，而是将所有信息显示给攻击者。如果敏感信息，如社会安全号码、生日或信用卡信息显示在屏幕上，将会带来严重的问题。其实这些简单的SQL注入往往是那些大型电商的烦恼。一般来说，攻击点不在于文本框，而在于查询字符串(可以用来向数据库传输值，比如从列表页到详细页的唯一标识符)。

还可以进行更复杂的攻击。例如，攻击者可以使用两个连字符(-)来注释掉SQL语句的其余部分。这种攻击仅限于SQLServer，但对于其他类型的数据库也有等效的方法，比如MySql使用(#)和Oracle使用(；)号。此外，攻击者可以执行包含任意SQL语句的批处理命令。对于SQLServer提供程序，攻击者只需在新命令前面加上分号(；)。攻击者可以通过这种方式删除其他表的内容，甚至可以调用SQLServer的系统存储过程xp_cmdshell来命令和执行任意程序。

攻击者在文本框中输入以下内容，其目标是删除Customers表中的所有行。

《伦春》；从客户中删除*

第二，预防

如何防止SQL注入袭击？需要记住几点。首先，使用文本框是个好主意。MaxLength属性来防止用户输入过长的字符。因为它们不够长，所以减少了大量粘贴脚本的可能性。其次，应该使用ASP.NET验证控件来锁定错误的数据(如文本、空单元格和数值中的特殊字符)。此外，您应该限制错误消息给出的提示。当捕获到数据库异常时，只显示一些常规信息(如“数据源错误”)，而不是异常中的信息。消息属性，这可能暴露系统攻击点。

更重要的是，必须小心地删除特殊字符。例如，您可以用两个单引号替换单引号，这样就不会与SQL语句的分隔符混淆:

字符串ID=txtID。文本()。替换(“”、“”)；

当然，如果文本确实需要包含单引号，这样做会带来其他麻烦。此外，一些SQL注入攻击是可行的。替换单引号可以防止用户提前结束字符串。但是，如果包含数值的SQL语句是动态构造的，SQL注入攻击将再次发挥作用空。这个漏洞经常被忽视(这是非常危险的)。更好的解决方案是使用参数化命令或存储过程进行转义，以防止SQL注入攻击。

另一个好的建议是限制用于访问数据库的帐户的权限。该帐户无权访问其他数据库或执行扩展存储过程。但是，这并不能解决SQL脚本注入的问题，因为用于连接数据库的进程几乎总是比任何单个用户需要更多的权限。通过限制权限，可以防止删除表的攻击，但是不能防止攻击者偷看别人的。信息。

第三，注射后攻击

精明的用户可能知道还有另一种攻击Web控件的潜在方法。尽管参数化命令可以防止SQL注入攻击，但它们无法防止攻击者向发送回服务器的数据中添加恶意值。如果不检查这些值，攻击者可以提交本来不存在的控制值。

例如，假设您有一个显示当前用户订单的列表。狡猾的攻击者可能会保存页面的本地副本，修改HTML内容以向列表中添加更多项目，然后选择一个“假”项目。如果攻击成功，攻击者将能够看到其他用户的订单，这显然是一个问题。幸运的是，ASP.NET使用一个很少被提及的功能“事件验证”来防止这种攻击。事件验证检查发送回服务器的数据，并验证其值的合法性。例如，如果提交的数据表明用户选择了一个无意义的数据(因为它不存在于控件中)，ASP.NET将生成一个错误并停止处理。通过在Page指令中将EnableEventValidation属性设置为false，可以禁用事件验证。当您创建使用客户端脚本动态更改内容的页面时，您需要执行此步骤。但是，此时，在使用这些值之前，请注意检查潜在的后注入攻击。

;

MyBatis怎么防止SQL注入？

用#{参数}进行预编译就可以防止了，千万别用${}这种方式注入参数。

mybatis框架作为一款半自动化的持久层框架，其sql语句都要我们自己来手动编写，这个时候当然需要防止sql注入。其实Mybatis的sql是一个具有“输入+输出”功能，类似于函数的结构，如下：

selectid,title,author,content

fromblogwhereid=#{id}

这里，parameterType标示了输入的参数类型，resultType标示了输出的参数类型。回应上文，如果我们想防止sql注入，理所当然地要在输入参数上下功夫。上面代码中高亮部分即输入参数在sql中拼接的部分，传入参数后，打印出执行的sql语句，会看到sql是这样的：

selectid,title,author,contentfromblogwhereid=?

不管输入什么参数，打印出的sql都是这样的。这是因为mybatis启用了预编译功能，在sql执行前，会先将上面的sql发送给数据库进行编译，执行时，直接使用编译好的sql，替换占位符“？”就可以了。因为sql注入只能对编译过程起作用，所以这样的方式就很好地避免了sql注入的问题。

网站如何防止SQL注入？

防止SQL注入的方法就是不要在程序中使用拼接的方式生成SQL语句

如:"select*fromTableNamewherecolumnName='"+变量+"'"

这样很容易被注入，

如果变量="'or1=1--"

这句sql的条件将永远为真

如果采用拼接SQL要把变量中的'（单引号）替换为''（两个单引号）

预编译为什么能防止sql注入？

因为preparedStatement中可以不包含数据，只包含操作，这样就不需要用数据来拼接SQL。

java如何防sql攻击？

java防SQL注入,最简单的办法是杜绝SQL拼接,SQL注入攻击能得逞是因为在原有SQL语句中加入了新的逻辑，如果使用PreparedStatement来代替Statement来执行SQL语句，其后只是输入参数，SQL注入攻击手段将无效，这是因为PreparedStatement不允许在不同的插入时间改变查询的逻辑结构,大部分的SQL注入已经挡住了,在WEB层我们可以过滤用户的输入来防止SQL注入比如用Filter来过滤全局的表单参数。下面就举三个例子来说明一下：

第一种：

采用预编译语句集，它内置了处理SQL注入的能力，只要使用它的setString方法传值即可，如下所示：

Stringsql="select*fromuserswhereusername=?andpassword=?;PreparedStatementpreState=conn.prepareStatement(sql);preState.setString(1,userName);preState.setString(2,password);ResultSetrs=preState.executeQuery();...

第二种：

采用正则表达式将包含有单引号(')，分号(;)和注释符号(--)的语句给替换掉来防止SQL注入，如下所示：

publicstaticStringTransactSQLInjection(Stringstr)

{

returnstr.replaceAll(".*(+|(--)+).*","");

}

userName=TransactSQLInjection(userName);

password=TransactSQLInjection(password);

Stringsql="select*fromuserswhereusername='"+userName+"'andpassword='"+password+"'"

Statementsta=conn.createStatement();

ResultSetrs=sta.executeQuery(sql);

第三种：

使用Hibernate框架的SQL注入防范Hibernate是目前使用最多的ORM框架，在JavaWeb开发中，很多时候不直接使用JDBC，而使用Hibernate来提高开发效率。

在Hibernate中，仍然不应该通过拼接HQL的方式，而应使用参数化的方式来防范SQL注入。有两种方式，一种仍然是使用JDBC一样的占位符“?”，但更好的方式是使用Hibernate的命名参数，例如检测用户名和密码是否正确，使用Hibernate可以写成如下：

StringqueryStr=“fromuserwhereusername=:username”+”password=:password”;

Listresult=session.createQuery(queryStr).setString("username",username).setString("password",password).list();

---

万州区17717083746： asp 防止SQL注入方式 - ？
凭纨茵莲： 这个问题曾遇到过,以解决.具体的网上有很多,现贴出来,希望对你有所帮助.<br>如果编写通用的SQL防注入程序一般的http请求不外乎get 和 post,所以只要我们在文件中过滤所有post或者get请求中的参数信息中非法字符即可,所以我们...

万州区17717083746： ASP.NET中如何防范SQL注入式攻击 - ？
凭纨茵莲： 所谓SQL注入式攻击,就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串,欺骗服务器执行恶意的SQL命令.在某些表单中,用户输入的内容直接用来构造(或者影响)动态SQL命令,或作为存储过程的输入参数,这类表...

万州区17717083746： asp.net怎么能够更好的防止sql注入式攻击? - ？
凭纨茵莲： 1、代码的严谨,尤其是与数据库链接的代码,现在一般都是写在web.config中,这在一定的程度上也起到了防攻击.2、你的数据库模型设计的更加严谨一些,一个是增加可读性,一个是对关键字段的识别.3、当然,还有其他一些防止sql注入式攻击的手段,这些都是你在平时写代码的时候不自觉的都会加入这些元素的.只是有时候你不知道它的名字而已.

万州区17717083746： asp.net如何有效防止SQL注入攻击 - ？
凭纨茵莲： 1. 以最少的SQl语句获取表中所有数据,存放到本地内存中 例如:select *from user 这句一般就不会被SQl注入,一般是安全的 2. 将上面的表存放到datatable中. 3. 在datatable中检索有用的数据,然后添加到一个List<user>中,List<user>中就存...

万州区17717083746： asp.net 怎么防止SQL注入攻击啊???？
凭纨茵莲： 分步实施提要 第一步. 使用ASP.NET 请求校验. 第二步. 使用权用约束输入. 第三步. 对不安全的输入进行编码. 第四步. 对Sql语句使用命令参数方式. 第五步. 验证ASP.NET的错误没有被返回客户端. 额外的资源 这个具体网址 你去看看 里面有很详细的介绍 http://bbs.51aspx.com/showtopic.aspx?topicid=4784

万州区17717083746： asp.net中怎样防止SQL语句的注入,比如说登录的SQL语句怎么写. - ？
凭纨茵莲： 把参数封装到sqlparameter数组中..把sqlparameter数组类型作为参数类型,如,public static User GetAdminUserByLoginId(string loginId) { ...

万州区17717083746： ASP.NET 防范 SQL注入式攻击 - ？
凭纨茵莲： 你用的是参数,没有直接把获得的字符串放到SQL代码里,所以注入的代码不起使用.

万州区17717083746： 防止SQL注入？
凭纨茵莲： 在ASP.NET 2.0开始,SQL注入几乎可以说是不用考虑了. 首先,在ASP.NET里提供了很多过滤的控件, 其次,如果你使用ADO.NET进行操作数据库,希望你不要去拼接一些查询字符串,否则很容易出问题. 最后,到了ASP.NET3.5 ,大家都使用LINQ了,SQL注入已经不可能实现了.

万州区17717083746： 在ASP.Net怎么防止SQL注入? - ？
凭纨茵莲： <script> 这样的标签 在插入数据库的时候 一定要替换成掉的写一个方法,用来处理 文本编辑器返回的字符 /// <summary> /// 返回文本编辑器替换后的字符串 /// </summary> /// <param name=＂str＂>要替换的字符串</param> /// <returns></returns>...

万州区17717083746： asp防止sql注入攻击 - ？
凭纨茵莲： 请求方式(0:防止SQL注入 '在你接收url参数的时候 过滤特殊字符就可以了 veryeasy~~ 给你一个函数 ':参数类型-数字型(1表示是数字,4:post请求;_______________________________________________________________ ',1:直接请求,5:SetRequest ',0表示为字符) 'RequestType:参数名称-字符型 ':Cookies请求;作 用:get请求,3:Request请求;ParaName,2;ParaType;函数名