Fri, 27 Apr 2007 09:25:00 GMT

2007-04-27 17:25 发表评论

存在sql注入式攻�ȝ��最差实践代码（Java新手注意了）

Fri, 20 Apr 2007 05:51:00 GMT

下面是自�׃��前初学JDBC时候写的代码，存在sql注入漏洞�?/font>

不安全因素：statement。。。应该用Preparedstatement来代替statement�Q�这��h��们就可以使用占位�W�作为实参来定义sql语句�Q�从而避免sql注入的攻凅R�?/font>

当然也可以用statement�Q�你得注意你的sql的写法，要是下例肯定不行。还得对url恶意传入参数�q�行�q��o(SQL元字�W�处�?。。。这样就比较�ȝ��了，而且也无法保证绝对的安全�?/font>

我们在用hibernate�{�框架的时�?hql语句)�Q�避免sql注入��d��也是一��L��Q�关键是不要用string来构造sql语句�Q�不��什么框�Ӟ��q�是�U�JDBC�Q�只要用Preparedstatement��OK。。�?/font>一定要用占位符作�ؓ实参来构造sql�Q�或hql�Q�语句�?br>

package cn.zhd;
import java.io.*;
import org.apache.log4j.*;
import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.SQLException;
import java.sql.Statement;
import java.sql.ResultSet;

public class LoginDemo {

   public void execute(String user,String pass){
       boolean foo=false;
       try{
           Class.forName("com.mysql.jdbc.Driver");
           Connection con=DriverManager.getConnection("jdbc:mysql://localhost/students","root","");
           Statement stam=con.createStatement();
            //存在注入��d��漏洞:select * from login where user='' or'x'='x' or 'x'='' and '1'
            ResultSet rs=stam.executeQuery("select * from login where user='" + user + "' and pass='"+ pass + "'");
           while(rs.next()){

                   foo=true;

           }
           if(foo){
               System.out.println("登陆成功");
           }
           else
           {
               System.out.println("用户名密码错�?);
           }

       }catch(ClassNotFoundException e){
           e.printStackTrace();
       }catch(SQLException e){
           e.printStackTrace();
       }

   }
   public static void main(String[] args){
       Logger log=Logger.getLogger(LoginDemo.class);
       try{
           LoginDemo ld=new LoginDemo();
           BufferedReader bf=new BufferedReader(new InputStreamReader(System.in));
           log.info("误��入用户名");
           String bf_str=bf.readLine();
           log.info("误��入密�?);
           String bf2_str=bf.readLine();
           bf.close();
           ld.execute(bf_str,bf2_str);
       }catch(IOException e){
           e.printStackTrace();
       }

   }
}

当输入用户名的时候输�?' or 'x'='x' or '2'='
密码随便�?....
成功登陆了吧.....

张金�?/a> 2007-04-20 13:51 发表评论

视频在线不卡,在线免费视频你懂得,中文字幕免费在线视频

存在sql注入式攻�ȝ��最差实践代码（Java新手注意了）