sql注入 mysql 执行命令 sql注入以及解决的办法
我们以前很可能听过一个词语叫做SQL注入攻击，其是威胁我们系统安全的最危险的因素之一，那么到底什么是SQL注入攻击呢？这里我会用一个最经典最简单的例子来跟大家解释一下：
众所周知，我们的sql语句都是有逻辑的，例如下面这句：
这句超级简单吧，我们都知道，这句最常用的是在登陆的时候，来查询用户输入的账号和密码匹配不匹配，来确定用户是否可以登陆的，大体上一看好像没啥问题，但是呢，假如我是一名黑客，我可以用一种巧妙地方式来登陆你这个系统，我账号随意输入一个，密码我输入一个 1 ‘or’ 1’='1 什么意思呢？请看下面这个语句：
这一句是啥意思呢？
我的账号输入的是asasas，乱输的，但我的密码输入的是1 ‘or’ 1’=‘1 ，最后在数据库里查询的上面这句，其实是一句恒等式，为什么这么说呢?where条件后面有一个and 还有一个or，我们都知道and是且，or是或，所以整个语句的条件其实是名字为asasas且密码为1或者’1’等于’1’，这里就很好笑了，字符串1永远等于字符串1啊！所以后面的where条件是一个恒等式，表所有的行都符合字符串1等于字符串1这个条件，又是或的关系，所以所有的行全部匹配，全部被搜索出来，这样再用行数来判断用户是否能登陆已经根本不行了，因为查出来的是所有行。就类似于下面的句子：
注意第二句，改写成第三句后大家应该能看懂了，第三句肯定会查询出来所有的行。
既然现在大家基本了解了SQL注入攻击，那我们要怎么办才能防止这种攻击发生呢？
第一种方式大家都很容易想到，那就是特殊字符匹配，首先大多数系统不会允许用户输入特殊字符 ',- - 之类的，这可以解决一部分SQL注入问题，但是目前最有效最简单的方法是参数化查询语句来防止SQL注入，大家可能看得一脸懵逼，什么是参数化查询语句？没关系，请看下面的代码：
这就是一段经典的参数化sql语句执行，可能大家觉得这种方式和我们去拼接字符串执行看起来没什么差别，实际上，这两种方式差别非常大，其中最重要的差别就在于这种方式会将执行计划重用，大家可能又要问什么是执行计划重用，执行计划重用是数据库的一种机制，其预编译sql语句，就类似于一个模板，以后执行的话就改改传入参数，就不需要再次编译了，举个简单的例子，刚才我们的：
第一句就相当于一个执行计划，它是编译产生的一个模板，确定以后数据库没有特殊情况就再也不会去编译这一句，语意就确定了，只是参数一直在变，这样能加快数据库执行的速度，重用执行计划就是重复使用这一个语意来执行数据库语句，再来看我们的第四句，第四句明显语意发生了变化，需要数据库重新进行编译，但实际上，其语意变化并不是我们想看到的，所以我们只需要将其强制性的按照原先的语意进行执行，便是我们所想看到的结果，所以，参数化sql的作用就在这里，具体sql参数化后执行的具体语句四什么样子的，大家可以自行百度，但是一定是用到了sp_executesql这个关键字，这个关键字就是用来做强制重用执行计划的，所以，大家以后在后台写sql语句拼接时，尽量多使用sql参数化的方式，可以大大提高安全性。
如何快速有效的解决SQL注入问题：
安全加速（Secure Content Delivery Network，SCDN）是德迅云安全推出的集分布式DDoS防护、CC防护、WAF防护、BOT行为分析为一体的安全加速解决方案。已使用内容分发网络（CDN）或全站加速网络（ECDN）的用户，购买服务后可为加速域名一键开启安全防护相关配置，全方位保障业务内容分发。
Web攻击防护Web防火墙
- 有效防御 SQL注入、XSS攻击、命令/代码执行、文件包含、木马上传、路径穿越、恶意扫描等OWASP TOP 10攻击。专业的攻防团队7*24小时跟进0day漏洞，分析漏洞原理，并制定安全防护策略，及时进行防护。
- 提供智能语义解析功能，在漏洞防御的基础上，增强SQL注入和XXS攻击检测能力。
- AI检测和行为分析，通过对德迅云积累海量日志进行学习和训练输出多种Web安全防护模型，对用户多请求的多元因子进行智能分析，有效提高检出率，降低误报率；通过信息孤岛、行为检测分析，识别恶意攻击源，保护网站安全。
应用层DDoS防护
- 威胁情报库：通过大数据分析平台，实时汇总分析攻击日志，提取攻击特征并进行威胁等级评估，形成威胁情报库。
- 个性化策略配置：如请求没有命中威胁情报库中的高风险特征，则通过IP黑白名单、访问频率控制等防御攻击。
- 日志自学习：实时动态学习网站访问特征，建立网站的正常访问基线。
- 人机校验：当请求与网站正常访问基线不一致时，启动人机校验(如JS验证、META验证等)方式进行验证，拦截攻击。
- 对Slow Headers攻击，通过检测请求头超时时间、最大包数量阈值进行防护。
- 对Slow Post攻击，通过检测请求小包数量阈值进行防护。.
合规性保障
- 用户可以对HTTP协议字段进行组合，制定访问控制规则，支持地域、请求头、请求内容设置过滤条件，支持正则语法。
- 记录所有用户访问日志，对访问源进行TOP N，提供趋势分析，可以根据需要提供日志下载功能。
- 采用强制静态缓存锁定和更新机制，对网站特定页面进行保护，即使源站相关网页被篡改，依然能够返回给用户缓存页面。
- 对response报文进行处理，对响应内容和响应进行识别和过滤，根据需要设置数据防泄漏规则，保护网站数据安全。
HTTP流量管理
- 可以设置源IP或者特点接口访问速率，对超过速率的访问进行排队处理，减缓服务器压力。
- 可以根据业务需要对请求头和响应头进行处理，可进行请求头替换或者敏感信息隐藏设置。
安全可视化
- 默认提供Web安全攻击报表、CC攻击防护报表、用户访问统计报表和自定义规则命中报表，满足业务汇报和趋势分析需求。
- 提供全量日志查询和下载功能，可以通过OpenAPI接口获取实时日志或离线日志信息。
- 提供基于均值和峰值带宽统计信息，提供攻击带宽和正常占比，随时关注业务状况。提供多种组件，了解业务监控和核心指标变化情况。
原文地址：https://blog.csdn.net/QQ3007250950/article/details/140636793
免责声明：本站文章内容转载自网络资源，如本站内容侵犯了原著者的合法权益，可联系本站删除。更多内容请关注自学内容网（zxcms.com）！