首页 > 数据库> 文章详细

Android可能出现的SQL注入以及防范

2019-06-01 13:51:40 阅读：356 来源： 互联网

标签：语句 username SQL sql 防范 Android password 注入

Android可能出现的SQL注入以及防范

什么是SQL注入
SQLite数据库的SQL注入
如何防止SQL注入
小结

什么是SQL注入

所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。

SQLite数据库的SQL注入

不只是常见的mysql，oracle数据库，SQLite数据库如果出现sql语句书写不规范，也可能出现SQL注入。以下是一个登录功能的代码：

    /**
     * 读取UserData.db中的用户信息
     * */
    protected void readUserInfo() {
        if (login(edit_account.getText().toString(), edit_password.getText().toString())) {
            Toast.makeText(this, "登陆成功！", Toast.LENGTH_SHORT).show();
            Intent intent = new Intent(Login_Activity.this, UsersInfo_activity.class);
            intent.putExtra("Username",edit_account.getText().toString());
            startActivity(intent);
        } else {
            Toast.makeText(this, "账户或密码错误，请重新输入！！", Toast.LENGTH_SHORT).show();
        }
    }

 /**
     * 验证登录信息
     * */
    public boolean login(String username, String password) {
        SQLiteDatabase db = dbHelper.getWritableDatabase();
        String sql = "select *from usertable where username='"+username+"'"+"and password='"+password+"'";
        Cursor cursor = db.rawQuery(sql,null);
        if (cursor.moveToFirst()) {
            cursor.close();
            return true;
        }
        return false;
    }

我们可以看到这段代码中，数据库查询语句是依靠字符串拼接组成查询语句，这样很容易发生SQL诸注入！

 String sql = "select *from usertable where username='"+username+"'"+"and password='"+password+"'";

为什么会产生SQL注入呢？
我们根据这个简单的注册登录项目来解释。
首先注册一个账号，账号密码都为123。
在这里插入图片描述
这时我们来验证一下登录功能。

我们输入正确的账号密码，可以看到登录成功。

我们输入错误的密码，登录失败，证明登录功能是正常的。

这时候，我们在账号中输入123’or’1=1 密码输入一个错误的12,我们可以看到，他也是登录成功了。为什么呢？
在这里插入图片描述

因为账号输入123’or’1=1，密码输入12此时sql查询语句就变成

select *from usertable where username='123 ' or ' 1=1' and password = ' 12 ';

这条语句意味着，只要账号密码中，其中一个输入是正确的再加上or 1=1 （永真），此查询语句就能够查询到数据库中的值，骗过服务器从而进入到登录成功的页面，登录成功还是轻的，假设再加上一条语句drop table XXX呢…后果不堪设想。

如何防止SQL注入

我们修改一下登录功能的代码

  String sql = "select *from usertable where username=? and password=?";
  Cursor cursor = db.rawQuery(sql,new String[]{username,password});

这时候我们在尝试用刚才SQL注入的方法登录看看
在这里插入图片描述
发现此时SQL注入已经失效。
此方法是通过使用占位符？，代表我们要输入的参数。rawQuery函数中的第一个参数是sql语句，第二个参数new String[]{username,password}替换掉sql语句中的占位符，因为此时123’or’1=1是一个整体，代表username ，所以不会对查询语句产生影响。

小结

我们通过这个案例可以看到，SQL注入带来的危害有多大，是属于一个安全漏洞。但是这个漏洞往往来源于程序员本身的SQL语句书写不规范，总结以下几点：

1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和双"-"进行转换等。
2.永远不要使用动态拼装sql，可以使用参数化的sql或者直接使用存储过程进行数据查询存取。
3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装
6.sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等。

作者：<>黄超强
原文：原文链接

标签：语句,username,SQL,sql,防范,Android,password,注入
来源： https://blog.csdn.net/fjnu_se/article/details/90728113

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。

ICode9

Android可能出现的SQL注入以及防范