注入攻击原理,web注入攻击

2020-10-12 阅读 谢建中整理

内容简介:注入式攻击要防止asp.net应用程序被SQL注入攻击入侵并不是一件特别困难的事情,只要在使用表单输入内容构造SQL命令之前过滤所有输入内容。过滤输入可以通过多种方式完成数据库注入...

要防止ASP.NET应用被SQL注入式攻击闯入并不是一件特别困难的事情,只要在利用表单输入的内容构造SQL命令之前,把所有输入内容过滤一番就可以了。

过滤输入内容可以按多种方式进行。

⑴对于动态构造SQL查询的场合,可以使用下面的技术:第一:替换单引号,即把所有单独出现的单引号改成两个单引号,防止攻击者修改SQL命令的含义。

再来看前面的例子,SELECT*fromUsersWHERElogin=or1=1ANDpassword=or1=1显然会得到与SELECT*fromUsersWHERElogin=or1=1ANDpassword=or1=1不同的结果。

第二:删除用户输入内容中的所有连字符,防止攻击者构造出类如SELECT*fromUsersWHERElogin=masANDpassword=之类的查询,因为这类查询的后半部分已经被注释掉,不再有效,攻击者只要知道一个合法的用户登录名称,根本不需要知道用户的密码就可以顺利获得访问权限。

第三:对于用来执行查询的数据库帐户,限制其权限。

用不同的用户帐户执行查询、插入、更新、删除操作。

由于隔离了不同帐户可执行的操作,因而也就防止了原本用于执行SELECT命令的地方却被用于执行INSERT、UPDATE或DELETE命令。

⑵用存储过程来执行所有的查询。

SQL参数的传递方式将防止攻击者利用单引号和连字符实施攻击。

此外,它还使得数据库权限可以限制到只允许特定的存储过程执行,所有的用户输入必须遵从被调用的存储过程的安全上下文,这样就很难再发生注入式攻击了。

⑶限制表单或查询字符串输入的长度。

如果用户的登录名字最多只有10个字符,那么不要认可表单中输入的10个以上的字符,这将大大增加攻击者在SQL命令中插入有害代码的难度。

⑷检查用户输入的合法性,确信输入的内容只包含合法的数据。

数据检查应当在客户端和服务器端都执行之所以要执行服务器端验证,是为了弥补客户端验证机制脆弱的安全性。

在客户端,攻击者完全有可能获得网页的源代码,修改验证合法性的脚本(或者直接删除脚本),然后将非法内容通过修改后的表单提交给服务器。

因此,要保证验证操作确实已经执行,唯一的办法就是在服务器端也执行验证。

你可以使用许多内建的验证对象,例如RegularExpressionValidator,它们能够自动生成验证用的客户端脚本,当然你也可以插入服务器端的方法调用。

如果找不到现成的验证对象,你可以通过CustomValidator自己创建一个。

⑸将用户登录名称、密码等数据加密保存。

加密用户输入的数据,然后再将它与数据库中保存的数据比较,这相当于对用户输入的数据进行了消毒处理,用户输入的数据不再对数据库有任何特殊的意义,从而也就防止了攻击者注入SQL命令。

System.Web.Security.FormsAuthentication类有一个HashPasswordForStoringInConfigFile,非常适合于对输入数据进行消毒处理。

⑹检查提取数据的查询所返回的记录数量。

如果程序只要求返回一个记录,但实际返回的记录却超过一行,那就当作出错处理。

作者给您推荐的内容
  1. 如何安装win8客户笔记本用U盘安装Win8教程预览版?Win8安装教程和win7安装教程几乎一样,所以安装Win8的方法有10多种,这是不够的!介绍了成功率最高的方法,即在winpe中安装带U盘的win8...

  2. vivoy55a是一款可以安装手机内存卡的手机,今天为大家讲解一下vivoy55a手机怎么设置存储位置。01、打开手机,进入手机主页面,找到设置,点击并进入,如图所示。02、在设置界面,找到“更多设置...

  3. 查找两列不同数据比较两列Excel数据的异同的方法本例使用高级过滤法比较两列Excel数据的异同。excel表格对比两列数据差异...

  4. 不知道oppo手机的微信分身怎么设置?今天编编就和大家分享一下。01、首先找到oppo手机的设置,点击进入。02、进入设置过后,下滑选择进入“应用分身”选项。03、在应用分身中,有“Q...

  5. 海报背景巧用插图绘制和设计简单美观的银河系海报海报模板手绘...

  6. 微信官方账号有头像。你想怎样改变头部的图片?让我们看一下详细的教程。1、公开号码无头,再将公务账户添加微信公众号头像在哪里?微信公众号修改头像的教程到公务账户。2登陆微信网站官...

  7. 吃鸡是去年开始大火起来的一款fps射击类游戏,里面更是很多的枪支,那我们该怎么选择呢?01、5.56步枪性能大多强于7.62的步枪,其中如果有配件的话M416是最好的选择,因为满配的稳定性是最好的...

  8. ui界面设计做什么最近,很多网友对Android用户界面的设计非常感兴趣。掌握Android用户界面的绘制基础是开发自绘制控件和游戏制作的必要条件。本主题分为10个部分,相关的Oui界面设计...

  9. 许多小伙伴在套用PPT模板的时候,都应该遇到过自动播放的时候,可是应该如何取消自动播放呢?今天,小编就来教一教大家,希望对大家有帮助01、首先,打开一个ppt文件02、点击“幻灯片放映”...

  10. html锚点代码步骤1:插入链接1。用dreamwave打开网站,将光标放在S的前面。这将是你第一次点击链接2后跳转的地方。选择“插入命名锚定”,或单击插入栏3上的命名图标。在html锚点跳转...