ｌＳＳＮ１００９－３０４４Ｅ－ｍａｉｌ：ｊｓｌｔ＠ｃｃｃｃ．ｎｅｔ．ｃｎｈｔｔｐ：／／ｗｗｗ．ｄｎｚｓ．ｎｅｔ．ｅｎＴｅｌ：＋８６－５５１－５６９０９６３５６９０９６４Ｃｏｍｐｕｔｅｒ腼帆柏弦ａｎｄＴｅｃｈｎｏｌｏｇｙ电奠知识与技术Ｖ０１．６，Ｎｏ．２３，Ａｕｇｕｓｔ２０１０，ＰＰ．６４２３－６４２４，６４３１ＳＱＬ注入的常见攻击方法及其防范袁志（广州大学华软软件学院。广东广州５１０９９０）摘要：矣例介绍ＳＱＬ注入攻击的几种常见方法，对每种方法的执行原理和关键代码进行说明，通过实例分析总结出ＳＱＬ注入所依赖的程序漏洞，提出防范ＳＱＬ注入的方案。关键词：ＳＱＬ注入：网络攻击中图分类号：ＴＰ３１１文献标识码：Ａ文章编号：１００９－３０４４（２０１０）２３嘲２３．田２ＳＱＬ注入，是指在数据库应用程序中，用户在向应用程序提交的输人数据中包含ＳＱＬ查询串，从而获取数据和权限的一种攻击方式。ＳＱＬ注入主要针对Ｂ／Ｓ模式的应用程序。一些注入方法对Ｃ／ｓ模式的应用程序也同样生效。为说明各种ＳＱＬ注人方法，使用ＩＩＳ６．０＋ＡＳＰ．ＮＥＴ＋ＳＱＬＳｅｒｖｅｒ２００５作为开发环境，构造一个通信录网站，该网站可以向注册用户显示好友联系方式。网站地址为ｈｔｔｐ：／／１９２．１６８．０．１，网站有一个登录页面：ｈｔｔｐ：／／１９２．１６８．０．１／ｌｏｇｉｎ．ａｓｐｘ、一个显示联系方式页面：ｈｔｔｐ／／１９２．１６８．０．１／ＳｈｏｗＣｏｎｔａｃｔ．ａｓｐｘ？Ｕｓｅｒｌｄ＝ＣａＭｉｄ，该网站对ＳＱＬ注入毫无防范，服务器遇到程序错误时将详细错误信息显示给用户。应用程序用ｓａ作为数据库连接用户。下面结合对该网站的ＳＱＬ注入实例来介绍常见的ＳＱＬ注入方法，在实例分析的基础上，介绍防范ＳＱＬ注入的措施。ｌＳＱＬ注入的常见方法１．１注入“或选择”获取数据在浏览器与网站服务器交互的过程中。测览器将用户输入的数据传递给服务器．服务器端程序使用传人的数据构成ＳＱＬ语句与数据库交互，当用户在输入的数据中注入ＳＱＬ查询，构成ＳＱＬ注入。浏览器向服务器提交数据的方式有Ｇｅｔ和Ｐｏｓｔ两种。以下分别来说明。例１：在登录页面的表单内进行ＳＱＬ注入。绕过登录检测。用户在登录页面输入用户名和密码后，用Ｐｏｓｔ方式提交给服务器，应用程序将输入数据与数据库中的数据进行匹配．如果有满足条件的行，则认为通过了身份验证。猜测程序中构造的ＳＱＬ语句是：ＳＥＬＥＣＴ＋ＦＲＯＭ【表名】Ｗｈｅｒｅ【列名ｌ卜’ｕｓｅｄｄ’ａｎｄ【列名２】＝’ｐｗｄ’。此时，可以在表单内进行ＳＱＬ注入，用户名输入Ⅺ【，密码输入醢’Ｏｒ‘ｌ’＝’ｌ，则程序构造的ＳＱＬ语句变成：ＳＥＬＥＣＴＦＲＯＭ【表名】Ｗｈｅｒｅ【列名１１＝’】【ｘ’ａｎｄ【列名２】＝’ｘｘ’ｏｒ‘ｌ’＝’ｌ’……（１）（１）的前半部分是程序正常情况下的逻辑，带下划线的部分是注入的危险代码，基于（１）的ＳＱＬ查询。不管数据【表名】、【列名１】、【列名２】是什么，也不管输入的ｘｘ是什么，最后都将通过身份验证。这是一个ＰＯＳＴ注入实例。例２：在显示页面的地址栏进行ＳＱＬ注入。以获取更多数据。正常的地址栏显示是ｈｔｔｐ／／１９２．１６８．０．１／ＳｈｏｗＣｏｎｔａｃｔ．ａｓｐｘ？Ｕｓｅｒｌｄ＝ｘｘ，浏览器以Ｇｅｔ方式将Ｕｓｅｒｌｄ的值珏传递给服务器，服务器从数据库中取数据，将娃的好友信息传递给浏览器显示在页面上，猜测程序中构造的ＳＱＬ语句是：ＳＥＬＥＣＴ率ＦＲＯＭ【表名】Ｗｈｅｒｅ【列名】＝’珏’。此时，可以在地址栏内进行ＳＱＬ注入，将地址栏修改为ｈｔｔｐ／／１９２．１６８．０．１／ＳｈｏｗＣｏｎｔａｃｔ．ａｓｐｘ？Ｕｓｅｄｄ－－ｘｘ’ｏｒ‘ｌ’＝’１。这样程序最后构造的ＳＱＬ语句变成：ｆ表名】Ｗｈｅｒｅ冽名仁’取’ｏｒ‘ｌ’＝’ｌ’……（２）（２）式中，带下划线的部分是ＳＱＬ注人的危险代码，基于（２）的查询，可以将所有的通信信息都会显示出来。这是一个Ｇｅｔ注入的ＳＥＬＥＣＴ＋Ｆｒｏｍ实例。例（１）和例（２）的共同点是通过注入“或选择”去获取更多的数据，其中对于字符串类型的参数值，注入时添加了一些单引号，有些程序在输入检查中屏蔽了单引号。此时可以使用ｃｈａｄ８５）代替单引号。在下文中，为叙述简洁起见，只写出经过ＳＱＬ注入之后生成ＳＱＬ语句，注入方式和应用场合基本与例ｌ和例２相同。不再重复。不失一般性，将程序生成的正常的ｓＱＬ语句统一写成Ｓｅｌｅｃｔ【列名】Ｆｒｏｍ【表名】Ｗｈｅｒｅ【条件】。１．２利用服务器返回的错误提示获取数据Ｗｅｂ服务器返回的详细错误信息一般用于编程中的调试，但有些程序员在配置网站时，不加处理，使得错误信息公布给终端用户，利用这些错误信息，可以获取系统的诸多消息，从而为ＳＱＬ注入提供了便利。例３：利用服务器返回的错误信息，获取网站连接数据库的用户名。收稿日期：２０１０—０６—２６作者简介：袁志（１９７１－），男，系统分析师，研究方向为信息系统开发，网络安全。本栏目责任编辑：代影万方数据··－·。···ｔ曩牟与值息蕾曩·－６４２３ＣｏｍｐｕｔｅｒＫｎｏｗｌｅｄｇｅａｎｄＴｅｃｈｎｏｌｏｇｙ电■知识‘ｉ技术第６卷第２３期（２０１０年８月）注入后形成的ＳＱＬ语句如下：ＳＥＬＥＣＴ｝Ｆｒｏｍｆ表名１Ｗｈｅｒｅ【列名１－－－＝’ａｎｄｕｓｅｒ＞Ｏ……（３）（３）中，ｕｓｅｒ是ＳＱＬＳｅｒｖｅｒ的一个内置变量，它的类型为ｎｖａｒｅｈａｒ，值是当前数据库连接的用户名。应用程序运行该语句，将ｎｖａｒｃｈａｒ的值与Ｏ比较，先试图将ｎｖａｒｃｈａｒ的值转成ｉｎｔ型，转换过程会出错，ＳＱＬＳｅｒｖｅｒ的出错提示是：将ｎｖａｒｃｈａｒ值“ｄｂｏ”转换数据类型为ｉｎｔ的列时发生语法错误。ｄｂｏ就是数据库的用户名。本例中，使用的是舳。提示是ｄｂｏ，如果是其他的数据库连接用户，将会提示用户的原名。例４：获取数据库名、表名、列名让程序构造以下ＳＱＬ语句，这些ＳＱＬ语句在运行时都会发生错误，并将错误的详细信息公布给用户。从（４）的错误信息可以获得数据库名，从（５）的错误信息可以获得所有表名，从（６）ｌｇＪ错误信息可以获得所有列名。Ｓｅｌｅｃｔ【列名】Ｆｒｏｍ【表名】Ｗｈｅｒｅ【条件】ａｎｄｄｂ＿ｎａｍｅ０＞Ｏ……（４）（４）中，ｄｂｎａｍｅ０是ＳＱＬＳｅｒｖｅｒ的系统函数。返回的是连接的数据库名。Ｓｅｌｅｃｔ【列名】Ｆｒｏｍｆ表名】Ｗｈｅｒｅ【条件】ａｎｄ（Ｓｅｌｅｃｔｌ表示第１个表。Ｓｅｌｅｃｔ【列名】Ｆｒｏｍｆ表名】Ｗｈｅｒｅ【条件】ａｎｄ（Ｓｅｌｅｃｔ获取表中的列名。１．３通过“：”注入新查询由于ＳＱＬＳｅｒｖｅｒ支持在一条语句中包含多条查询，因此，如果在注入语句中添加一个分号，其后注入Ｉｎｓｅｒｔ，ＤＥＬＥＴＥ，ＵＰＤＡＴＥ等语句，就可以实现数据修改，注入ＤＤＬ语句可以修改数据库的结构。此时的前提是要获知库名、表名、列名。例５：通过ＳＱＬ注入，增加数据行Ｓｅｌｅｃｔ［列名ＪＦｒｏｍＴｏｐｌＴｏｐｌｎａｍｅｆｒｏｍｓｙｓｏｂｊｅｅｔｓｗｈｅｒｅｘｔｙｐｅ＝’Ｕ’ａｎｄｓｔａｔｕｓ＞Ｏ）＞Ｏ……（５）（５）中，ｓｙｓｏｂｊｅｃｔｓ是ＳＱＬＳｅｒｖｅｒ的系统表，存储着表、视图、约束及其它对象信息，ｘｔｙｐｅ＝’Ｕ’ａｎｄｓｔａｔｕｓ＞｛），表示用户建立的表名，Ｔｏｐｃｏｌｎａｍｅ（ｏｂｊｅｃｔ＿ｉｄ（‘表名’），１）ｆｒｏｍｓｙｓｏｂｊｅｃｔｓ）＞Ｏ……（６）（６）中，用ｏｂｊｅｃｔ＿ｉｄ（‘表名’）获取表名对应的内部ＩＤ，ｃｏｌｎａｍｅ（表名ＩＤ，１）代表该表的第１个字段名，将ｌ换成２，３，４…就可以逐个ｆ表名ＪＷｈｅｒｅｆ条件】：ＩｎｓｅｒＩｎｔｏＴＵ∞ｒ（ＵｓｅｒＩｄ，ｐｗｄ）Ｖａｌｕｅｓ（‘麟’，’双’）……仍ｆ７１可以在ＴＵｓｅｒ中加入一行。其中的表名和列名可以通过例４中的方法获得，如果服务器关闭了错误提示，则只能猜测了。１．４猜测机密数据在服务器关闭了错误提示的情况下，直接获得表名、列名等信息已经不可能了，此时通过反复执行ＳＱＬ注入可以猜测一些数据，比如数据表名、列名，甚至是数据表中的数据。例６：猜测数据库中存放用户名和密码的表名构造注入语句如下：Ｓｅｌｅｃｔ【列名】Ｆｒｏｍ【表名】Ｗｈｅｒｅ（条件】ａｎｄ（ＳｅｌｅｃｔＣｏｕｎｔ（奉）Ｆｒｏｍｆ猜测表名】）＞Ｏ……（８）由于存放用户名和１２１令的表名有一定规律叮循，这种猜测的成功机率极大。比如，猜测表名可以写成ＴＵｓｅｒ，Ａｄｍｉｎ等，如果执行以上语句，网站还是可以正常地显示数据，则猜测表名是对的，用同样的方法，可以猜测列名。例７：猜测用户表中存放的用户名在例６的基础上，假设已知表Ａｄｍｉｎ中存在ｕｓｅｍａｍｅ字段，来猜测第一条记录的ｕｓｅ眦ｅ的值。首先用第（９１式测试其长度：Ｓｅｌｅｃｔ【列名】Ｆｒｏｍ【表名】Ｗｈｅｒｅ【条件】ａｎｄ（ｓｅｌｅｃｔｔｏｐ１ｌｅｎ（ｕｓｅｍａｍｅ）ｆｒｏｍＡｄｍｉｎ）＞０……（９）如果ｔｏｐｌ的ｕｓｅｍａｍｅ长度大于０，则条件成立，＞ｌ，＞２测试下去，一直到条件不成立为止，得到ｎ∞ｒｎａｍｅ的长度。现在来猜每一位的字符，用ｓｕｂｓｔｒｉｎｇ（ｕｓｅｍａｍｅ，Ｎ，１）截取第Ｎ位字符，当然不能把这个字符与所有的可能字符进行比较，变通的方法是取这个字符的ＡＳＣＩＩ码。比如：Ｓｅｌｅｃｔ【列名】Ｆｒｏｍ【表名】Ｗｈｅｒｅｆ条件】ａｎｄ（ｓｅｌｅｃｔｔｏｐｌａｓｅ（ｍｉｄ（ｕｓｅｍａｍｅ，ｌ，１））ｆｒｏｍＡｄｍｉｎ）ｂｅｔｗｅｅｎ６３ａｎｄ９５……（１０）使用（１０）式，逐步缩小ＡＳＣＩＩ码的范围，最终得到第ｌ位字符的ＡＳＣＩＩ码，然后用ｎｃｈａｒ（数字）根据ＡＳＣＩＩ码返回字符，同样的方法可以得到所有的字符。如果写成程序测试，效率会有极大的提高。ＳＱＬＳｅｒｖｅｒ中，中文的是ＵＮＩＣＯＤＥ的双位编码，不能用函数ａｓｃｉｉ０取得ＡＳＣＩＩ码，必须用函数ｕｎｉｅｏｄｅ０返回ｕｎｉｃｏｄｅ值，再用ｎｃｈａｒ函数取得对应的中文字符。ｌｊ利用数据库登录用户的权限获取服务器控制权ＳＱＬＳｅｒｖｅｒ与操作系统有紧密的联系，ｓａ是个等同Ａｄｍｉｎｓｔｒａｔｏｒｓ权限的角色。当网站应用程序使用ｓａ来连接数据库时，通过网站上的ＳＱＬ注入，可以以Ａｄｍｉｎｉｓｔｒａｔｏｒ的权限管理服务器。例８：通过ＳＱＬ注入将数据库下载到客户机。Ｓｅｌｅｃｔ【列名】Ｆｒｏｍ【表名１Ｗｈｅｒｅ【条件］；ｅｘｅｃｍａｓｔｅｒ．．ｘｐ＿ｅｍｄｓｂｅＵ“ｎｅｔＭｙＰｗｄ／ａｄｄ”一…·（１１）（１１）执行存储过程ｘｐ＿ｅｍｄｓｈｅｌｌ，这个存储过程用于调用系统命令，于是，用ｎｅｔ命令新建了用户名为ｍｅ、密码为ＭｙＰｗｄ的ｗｉｎ－ｄｏｗｓ的帐号．这种方法只适用于用ｓａ连接数据库的情况。接着：Ｓｅｌｅｃｔ【列名】Ｆｒｏｍ【表名】Ｗｈｅｒｅ【条件］；ｅｘｅｃｍａｓｔｅｒ．．ｘｐ＿ｅｍｄｓｈｅｌｌ“ｎｅｔｌｏｅａｌｇｒｏｕｐａｄｍｉｎｉｓｔｒａｔｏｒｓｍｅ／ａｄｄ”……”（１２）（１２）将新建的帐号ｍｅ加入管理员组，从而得到系统最高权限。ＳｅｌｅｃｔＩ列名】Ｆｒｏｍ【表名】Ｗｈｅｒｅｆ条件］；ｂａｃｋｕｐｄａｔａｂａｓｅ库名ｔＯｄｉｓｋ＝’ｃ：、ｗｗｗｒｏｏｔ＼１．ｄｂ’……（１３）将得到的数据库名，加上网站服务器出错信息中暴露出的绝对路径，将数据库备份到Ｗｅｂ目录下面，再将备份文件下载到客户机，这已经不是本文的范围。（下转第６４３１页）６４２４··数曩库与僖矗■曩－··－··－一本栏目责任编置：代髟万方数据第６卷第２３期（２０１０年８月ｌ６）考生考试资格管理ＣｏｍｐｕｔｅｒＫｎｏ刚ｅｄｇｅａｎｄＴｅｃｈｎｏｌｏｇｙ电奠知识与技术考生考试资格窗Ｅｌ中显示考生信息，方便对考生信息进行浏览；并可取消个别考生考试资格或给予考生补考机会。７）在线监控模块作用是对所有正在考试的考生进行监控，通过监控页面，管理人员可以及时了解考生参加考试的情况、可监视所有考生的考试状态。８）题库管理题库管理模块必须能方便地对题库进行添加、修改、删除。为了方便试题选取，试题的质量将对整个考试系统的质量起着关键性的作用。对每道试题设置了难度属性，管理员将试题录入并提交后保存到数据库。９）成绩分析模块对已参加考试的考生进行成绩分析，也可导出成其它格式的文件。以便和其它的信息系统兼容。２．２考试系统前台模块主要功能是考生选择考试科目后进行在线考试，查询考试成绩。１）在线考试模块的实现考生登录成功后，进入考试界面，选择所要进行的考试科目进入考试并开始计时，并把考试状态变为“正在考试”。试题的显示顺序随机显示，有效克服考试过程中违纪显现。考试开始后。每隔一定时间系统会自动保存答题信息，也可以由考生自己保存，考完后可以提前点击“交卷”按钮；如果时间已到，系统会自动交卷。２）考生考试成绩的查询考生交卷后。可以立即查询客观题型的准确成绩，主观题的成绩则要等管理员或教师人工批阅完成后才能查询。３系统实现基于网络考试系统采用Ｂ／ｓ结构的特点，服务器端采用Ｗｉｎｄｏｗｓ２０００Ｓｅｒｖｅｒ操作系统，并添加了Ｉｎｔｅｒｎｅｔ信息服务组件；数据库服务器采用ＳＱＬＳｅｒｖｅｒ２０００提供了对高效的存储过程和灵活的用户自定义甬数的支持．并实现了据完整性的控制，通过对数据库的操作来实现各种考试信息的分配与管理，并把试题、考生信息、成绩存放在数据库中，以供程序访问；而客户端只需利用操作系统提供的浏览器，只要客户端为能上Ｉｎｔｅｍｅｔ网的机器就可以进行考试。４结束语本文对网络通用考试系统进行了全面的分析，介绍了利用ＡＳＰ和ＳＱＬＳｅｒｖｅｒ编写的多学科考试系统设计与功能模块。该系统用户界面友好，操作简单，支持自主创建考试科目，实现教考分离；推行教学改革、提高教学质量的一个重要举措；节约ｒ大量的人力、物力资源。净化了考试风气。其组卷、试卷管理方面功能全面、稳定性好、维护简单，目前已在多个教学班试用，效果较好。参考文献：【ｌ】夏利民．ＡＳＰ网络编程技术与实例［ＭＩ．南京：东南大学出版社，２００１【２】顼宇峰．ＡＳＰ＋ＳＱＬＳｅｒｖｅｒ典型网站建设案例【Ｍ】．北京：清华大学出版社，２００６，【３】周学泳．ＡＳＰ＋ＳＱＬＳＥＲＶＥＲ开发网上商店【Ｍ１．北京：人民邮电出版社，２０００．（上接第６４２４页）２防范ＳＱＬ注入的措施经过上面的实例分析，可以看到，ＳＱＬ注入之所以能够奏效，主要因为在服务器配置、应用程序设计、以及数据库安全管理等三个方面存在漏洞，防范ＳＱＬ注入可以从这三个方面人手。１）服务器配鼍。对终端用户，关闭错误信息提示，遇见程序错误。转到一个设计好了的错误提示页面。２）应用程序设计。检查客户端提交的参数，对含有”ｅｘｅｅ、ｉｎｓｅｒｔ、ｓｅｌｅｃｔ、ｄｅｌｅｔｅ、ｆｒｏｍ、ｕｐｄａｔｅ、ｃｏｕｎｔ、ｕｓｅｒ、ｘｐ＿ｃｍｄｓｈｅｌｌ、ａｄｄ、ｎｅｔ、Ａｓｃ”等字符的输入参数，不予响应；对数据库中存放的用户密码加密，比如用ＭＤ５加密；应用程序生成ＳＱＬ查询串，尽量不要使用字符串拼接，而使用参数化的输入。３１数据库安全措施。建议不要ｗｉｎｄｏｗｓ的管理员、Ｓａ、数据库的所有者作为应用程序连接ＳＱＬＳｅｒｖｅｒ的用户。为应用程序创建一个用户，该用户只能执行ｓｅｌｅｃｔ语句和指定的储存过程，对系统表和系统存储过程没有访问权限。参考文献：【１】ＳＱＬｉｎｊｅｅｆｉｏｎ［ＥＢ／ＯＬ］．ｈｔｔｐ：／／ｅｎ．ｗｉｋｉｐｅｄｉａ．ｏｒｇ／ｗｉｋｉ／ＳＱＬ＿ｉｎｊｅｃｔｉｏｎ．ｆ２】尹静．提高ＡＳＰ．ＮＥＴ应用程序的安全性ｆＪ】．成都信息工程学院学报，２００５．【３】孙磊．Ａｓｐ．Ｎｅｔ在远程控制中的应用ｆＪ】．工程设计学报，２００５．【４】朱志辉．基于Ａｓｐ．ｎｅｔ的信息管理系统安全性设计和考虑【Ｊ】．广州大学学报：自然科学版，２００４．本栏目责任编辑：代影万方数据－·－－－·－·ｔ据库与信息■曩··６４３１SQL注入的常见攻击方法及其防范
作者：作者单位：刊名：英文刊名：年，卷(期)：
袁志
广州大学,华软软件学院,广东,广州,510990电脑知识与技术
COMPUTER KNOWLEDGE AND TECHNOLOGY2010,06(23)
1.朱志辉 基于Asp.net的信息管理系统安全性设计和考虑[期刊论文]-广州大学学报(自然科学版) 2004(5)2.孙磊 Asp.Net在远程控制中的应用[期刊论文]-工程设计学报 2005(1)
3.尹静 提高ASP.NET应用程序的安全性[期刊论文]-成都信息工程学院学报 2005(2)4.SQL injection
本文链接：http://d.g.wanfangdata.com.cn/Periodical_dnzsyjs-itrzyksb201023012.aspx
