预防sql注入

标签：简单   应用   查询   一个   地方   管理   参数化   用户   str   

前言：

这两天做项目的时候发现很多小地方没有注意js或者sql注入，平时登录都是md5加密，今天突然发现记录一下。

所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。

过程：

类似这种很简单的页面 ，可能sql语句写法都如下:

select* form table where title =‘活动‘ 

但是懂点sql的人 ，可以输入‘ or ‘‘=‘，

select* form table where title =‘‘ or ‘‘=‘‘ 

或者 ‘ or 1=1-- (后加一个空格)

select* form table where title =‘‘ or 1=1-- ‘ （注释掉后面的单引号）

加上传入参数默认的两个包裹单引号，sql被解析了成了一个恒等式

于是结果如下，查询出了所有数据

升级：借助异常获取信息

破解表名：

and (select count(*) from 表名)<>0       （不等于0，判断是否正确）

破解列名：

and (select count(列名) from 表名)<>0

返回正确的，那么写的表名或列名就是正确

预防：

        String sql = "select id, no from user where id=?";
        PreparedStatement ps = conn.prepareStatement(sql);
        ps.setInt(1, id);
        ps.executeQuery();

预防sql注入

标签：简单   应用   查询   一个   地方   管理   参数化   用户   str   

原文地址：http://www.cnblogs.com/coderL/p/7782684.html