【Java 代码审计入门-02】SQL 漏洞原理与实际案例介绍

标签：02 Java 数据库 漏洞 SQL 攻击者 注入

SQL注入漏洞全解析

发布日期：2024年12月26日

---

引言

在互联网的快速发展的今天，Web应用的安全性变得越来越重要。SQL注入（SQL Injection, 简称SQLi）作为最常见的Web安全漏洞之一，给无数网站和应用程序带来了巨大的风险。本文将深入探讨SQL注入的原理、危害以及如何有效防范。

什么是SQL注入？

SQL注入是一种代码注入技术，它允许攻击者通过操纵Web应用程序的输入字段来执行非授权的SQL命令。这种攻击方式利用了应用程序对用户输入缺乏充分验证或过滤的问题，使得恶意构造的SQL语句得以绕过数据库的安全机制，直接与数据库进行交互。

SQL注入的危害

SQL注入可能带来的危害包括但不限于：

• 数据泄露：攻击者可以读取敏感信息，如用户密码、信用卡号码等。
• 数据篡改：非法修改或删除数据库中的记录。
• 权限提升：更改数据库用户的权限，甚至获取管理员级别的控制。
• 系统级攻击：如果数据库服务器配置不当，攻击者可能会进一步控制系统层面的操作。

防范SQL注入的方法

为了有效地抵御SQL注入攻击，开发者应遵循以下最佳实践：

1. 使用预编译语句和参数化查询

预编译语句是防御SQL注入的核心策略。大多数现代编程语言和数据库API都提供了对预编译语句的支持，它们可以在执行前将SQL逻辑与用户输入分离，从而避免了恶意输入的影响。

# Python示例使用sqlite3模块
import sqlite3
conn = sqlite3.connect('example.db')
c = conn.cursor()
user_input = "some_user_input"
c.execute("SELECT * FROM users WHERE username=?", (user_input,))

2. 避免动态构造SQL查询

尽量不要将用户提供的数据直接嵌入到SQL查询字符串中。这不仅容易引发SQL注入，还可能导致难以维护的代码结构。

3. 使用存储过程

存储过程能够帮助隔离应用程序逻辑与数据访问层，虽然不是万能药，但在某些情况下可以增加额外的安全层。

4. 实施最小权限原则

为应用程序使用的数据库账户分配尽可能少的权限。即使发生SQL注入，攻击者的损害也会受到限制。

5. 对所有输入进行验证

确保所有来自用户的输入符合预期格式，并且不包含潜在有害的内容。可以采用白名单的方式，只允许特定模式的数据通过。

6. 更新和打补丁

保持数据库管理系统及其相关软件的最新状态，及时应用安全更新。

7. 使用Web应用防火墙（WAF）

WAF作为一种网络应用防护工具，可以帮助检测并阻止SQL注入尝试，提供额外的安全屏障。

结论

SQL注入是一个严重的安全问题，但只要采取适当的预防措施，就可以大大减少其发生的可能性。对于开发者而言，了解SQL注入的工作原理以及掌握有效的防护手段是非常重要的。希望这篇文章能够提高大家对SQL注入的认识，并促使我们在开发过程中更加注重安全性。

【Java 代码审计入门-02】SQL 漏洞原理与实际案例介绍

写在前面

由于网上缺乏系统的Java代码审计教程，本文旨在为初学者提供一系列有关Java代码审计的学习资料，涵盖从环境搭建到各类漏洞（如SQL注入、XSS等）的分析与防范。希望通过这一系列文章，读者能够掌握基本的Java代码审计技能。

目标读者

本系列文章主要面向拥有 Java 基本语法基础的朋友。

文章内容概览

• 审计环境介绍
• SQL 漏洞原理与实际案例介绍
• XSS 漏洞原理与实际案例介绍
• SSRF 漏洞原理与实际案例介绍
• RCE 漏洞原理与实际案例介绍
• 包含漏洞原理与实际案例介绍
• 序列化漏洞原理与实际案例介绍
• S2系列经典漏洞分析
• WebLogic 系列经典漏洞分析
• fastjson系列经典漏洞分析
• jackson系列经典漏洞分析

数据库与表结构创建

首先创建一个数据库sec_sql：

CREATE DATABASE sec_sql CHARACTER SET utf8;

然后创建表admin和userinfo，并插入一些测试数据：

DROP TABLE IF EXISTS `admin`;
CREATE TABLE `admin` (
  `uid` int(11) NOT NULL AUTO_INCREMENT COMMENT 'uid',
  `username` varchar(100) NOT NULL COMMENT '账号',
  `password` varchar(100) NOT NULL COMMENT '密码',
  PRIMARY KEY (`uid`)
) ENGINE=InnoDB AUTO_INCREMENT=2 DEFAULT CHARSET=utf8;

INSERT INTO `admin` VALUES (1, 'admin', '7a57a5a743894a0e');

DROP TABLE IF EXISTS `userinfo`;
CREATE TABLE `userinfo` (
  `id` int(11) NOT NULL AUTO_INCREMENT COMMENT 'id',
  `name` varchar(100) NOT NULL COMMENT '名称',
  `age` int(11) NOT NULL COMMENT '年龄',
  `content` varchar(100) NOT NULL COMMENT '联系方式',
  `address` varchar(255) NOT NULL COMMENT '家庭地址',
  PRIMARY KEY (`id`)
) ENGINE=InnoDB AUTO_INCREMENT=7 DEFAULT CHARSET=utf8;

INSERT INTO `userinfo` VALUES 
(1, 'panda', 22, 'panda@cnpanda.net', '中国'),
(2, 'John', 29, 'test@cnpanda.net', '英国'),
(3, 'Tom', 45, 'hello@cnpanda.net', '美国'),
(4, 'Mr.Li', 33, 'li@cnpanda.net', '韩国'),
(5, 'Miss', 32, 'miss@cnpanda.net', '法国'),
(6, 'Ling', 17, 'ling@cnpanda.net', '中国');

下载 SQL 测试源码

你可以通过以下链接下载用于测试的Java项目：

GitHub - cn-panda/JavaCodeAudit

导入项目后，根据提示修改连接数据库的账号密码，并按照目录结构设置项目。

SQL 注入漏洞原理

SQL注入是指攻击者通过将恶意SQL命令插入到应用程序的HTTP请求中，使服务器执行非预期的SQL语句。当用户输入的数据未被适当处理就直接拼接到SQL查询时，就会产生SQL注入风险。

例如，在UserInfoDaoImpl.java文件中存在如下代码：

String sql = "select * from userinfo where id = " + id;
ps = conn.prepareStatement(sql);

这里没有对id参数进行任何过滤或验证，导致了潜在的安全问题。

实际案例演示

通过构造特定的URL参数，可以实现SQL注入攻击。比如使用如下payload可以获取管理员账户信息：

id=2 union select 1,2,3,group_concat(username),group_concat(password) from admin--

修复方案

使用预编译语句

采用PreparedStatement来避免SQL注入，例如：

String sql = "select * from userinfo where id = ?";
ps = conn.prepareStatement(sql);
ps.setInt(1, Integer.parseInt(id));

修改数据类型

如果适用，可以考虑更改接收参数的数据类型以减少注入的可能性，如将id改为整数类型。

实际案例(CVE-2019-9615)分析

案例介绍

OFCMS是一款基于Java的内容管理系统。在其v1.1.3之前的版本中，存在SQL注入漏洞，允许攻击者通过admin/system/generate/create?sql=路径执行恶意SQL命令。

案例搭建步骤

1. 从官方下载OFCMS v1.1.2版本。
2. 使用IDEA打开并配置项目。
3. 修改数据库连接配置。
4. 更新依赖项至兼容版本。

既然你希望继续了解其他方面，我将接着介绍Java代码审计中与SQL注入相关的更多内容，包括但不限于如何在现代框架中预防SQL注入、更深入的案例分析以及测试SQL注入的方法。

现代框架中的SQL注入防护

ORM框架的使用

许多现代Java应用程序使用对象关系映射（ORM）框架如Hibernate或MyBatis来简化数据库交互。这些框架通常内置了防止SQL注入的功能，因为它们使用参数化查询或预编译语句。然而，开发者仍然需要注意避免直接拼接用户输入到SQL字符串中。

• Hibernate：推荐使用HQL（Hibernate Query Language）或者Criteria API进行查询构建，尽量避免原生SQL。
• MyBatis：确保所有动态SQL都通过#{}而非${}引用参数，前者是安全的参数绑定，而后者则是直接替换文本，可能引发SQL注入。

Spring Data JPA

Spring Data JPA提供了简洁的CRUD操作接口，并且默认情况下会使用安全的方式执行查询。但是，当编写自定义查询时，务必遵循最佳实践：

• 使用方法名派发查询（例如findByLastName(String lastName)），这是最安全的选择。
• 如果必须写复杂的查询，请使用@Query注解配合命名参数或位置参数。

深入案例分析

除了前面提到的CVE-2019-9615外，还有许多其他的SQL注入漏洞案例值得研究。比如，在某些情况下，攻击者不仅能够读取数据，还可以修改甚至删除数据。对于这样的高危漏洞，需要更加严格的审查和修复措施。

案例：Struts2 S2-045 (CVE-2017-5638)

这是一个非常著名的远程命令执行漏洞，但它也展示了如何由于不正确的输入验证导致潜在的SQL注入风险。该漏洞出现在Apache Struts 2框架中，允许攻击者通过Content-Type头发送恶意Ognl表达式，进而控制服务器端逻辑。虽然这不是一个典型的SQL注入问题，但它强调了对所有外部输入进行全面验证的重要性。

测试SQL注入的方法

为了保证应用的安全性，在开发过程中应该定期进行安全测试。这里有一些常用的测试SQL注入的方法和技术：

• 手动测试：尝试构造各种形式的输入，特别是那些包含特殊字符和SQL关键字的输入，以查看应用程序的行为是否异常。
• 自动化工具：利用像OWASP ZAP、sqlmap等自动化工具扫描Web应用程序，自动检测并报告潜在的SQL注入点。
• 静态代码分析：采用静态分析工具检查源代码中是否存在直接拼接用户输入到SQL语句的地方。
• 渗透测试：邀请专业的安全团队对系统进行全面的渗透测试，模拟真实的攻击场景，找出隐藏的安全隐患。

结论

SQL注入是一种常见但危险的Web应用程序漏洞，它可以通过多种方式影响系统的安全性。通过遵循上述的最佳实践，结合使用现代的开发框架和技术，可以大大降低SQL注入的风险。此外，持续的安全教育和定期的安全测试也是保持系统健壮性的关键因素。

XSS（跨站脚本攻击）、SSRF（服务器端请求伪造）、RCE（远程代码执行）

其他常见漏洞类型

XSS（跨站脚本攻击）

XSS是一种客户端漏洞，允许攻击者向网页注入恶意脚本，当其他用户浏览该页面时，这些脚本会在用户的浏览器中执行。XSS可以分为反射型、存储型和基于DOM的三种形式。

• 防御措施：

• • 对所有用户输入进行输出编码。
  • 使用内容安全策略（CSP）限制哪些资源可以在页面上加载。
  • 避免在HTML属性值或JavaScript字符串中插入未经过滤的数据。

SSRF（服务器端请求伪造）

SSRF发生在应用程序以服务器的身份发起HTTP请求时，如果攻击者能够控制请求的目标URL，则可能导致内部网络泄露或其他敏感信息暴露。

• 防御措施：

• • 实现严格的URL白名单机制，只允许访问可信的外部服务。
  • 监控和记录所有的出站连接。
  • 使用代理来隔离内部网络与外界的直接通信。

RCE（远程代码执行）

RCE是最严重的漏洞之一，因为它允许攻击者完全接管服务器并执行任意命令。这通常发生在解析不受信任的数据时出现问题，例如反序列化攻击。

• 防御措施：

• • 永远不要信任来自不可靠来源的数据，尤其是文件上传、API调用返回的内容等。
  • 在可能的情况下，避免使用动态评估功能，如Java中的eval()函数。
  • 如果必须处理序列化对象，确保使用强类型的序列化格式，并对输入数据进行全面验证。

安全编码实践

输入验证

始终对外部输入的数据进行严格的验证，确保它们符合预期的格式、长度和类型。不要仅仅依赖于前端的验证逻辑，后端也必须实施相同级别的检查。

输出编码

任何从数据库读取或者由用户提供的数据，在显示给其他用户之前都应该被适当地编码，防止包含恶意代码。对于HTML输出，应该转义特殊字符；对于JSON响应，应确保正确的引号转义。

权限管理

确保每个操作都有适当的权限控制，遵循最小特权原则。管理员账户应当拥有尽可能少的权利，并且定期审查角色分配情况。

日志记录与监控

建立健全的日志系统，记录重要的业务事件和服务调用。同时，配置报警规则以便及时发现异常活动。日志信息不应包含敏感数据，如密码和个人身份信息。

构建安全的开发流程

安全需求分析

在项目启动初期就考虑安全性要求，定义明确的安全目标，并将其纳入设计文档中。安全团队应该参与到项目的整个生命周期，提供指导和支持。

定期安全培训

组织员工参加安全意识培训课程，了解最新的威胁趋势和技术发展。培养良好的编程习惯，鼓励开发者编写安全可靠的代码。

自动化安全测试

集成静态应用安全测试(SAST)工具到CI/CD管道中，自动扫描源代码寻找潜在的安全问题。同样地，也可以引入动态应用安全测试(DAST)工具模拟真实的攻击行为。

应急响应计划

为可能出现的安全事件制定详细的应急预案，包括快速定位问题、遏制影响范围、恢复受影响的服务以及事后总结经验教训。

标签：02,Java,数据库,漏洞,SQL,攻击者,注入
From： https://blog.csdn.net/shaozheng0503/article/details/144737326