Go語言SQL注入和防注入

時間  2020-03-07
標籤 語言 sql 注入 欄目 SQL 简体版
原文   原文鏈接

Go語言SQL注入和防注入

1、SQL注入是什麼

SQL注入是一種注入攻擊手段，經過執行惡意SQL語句，進而將任意SQL代碼插入數據庫查詢，從而使攻擊者徹底控制Web應用程序後臺的數據庫服務器。攻擊者可使用SQL注入漏洞繞過應用程序驗證，好比繞過登陸驗證登陸Web身份驗證和受權頁面；也能夠繞過網頁，直接檢索數據庫的全部內容；還能夠惡意修改、刪除和增長數據庫內容。html

2、防止SQl注入的思路和方法

  • 1.永遠不要信任用戶的輸入。對用戶的輸入進行校驗，能夠經過正則表達式，或限制長度；對單引號和 雙"-"進行轉換等。
  • 2.永遠不要使用動態拼裝SQL，可使用參數化的SQL或者直接使用存儲過程進行數據查詢存取。
  • 3.永遠不要使用管理員權限的數據庫鏈接，爲每一個應用使用單獨的權限有限的數據庫鏈接。
  • 4.不要把機密信息直接存放，加密或者hash掉密碼和敏感的信息。
  • 5.應用的異常信息應該給出儘量少的提示，最好使用自定義的錯誤信息對原始錯誤信息進行包裝
  • 6.sql注入的檢測方法通常採起輔助軟件或網站平臺來檢測，軟件通常採用sql注入檢測工具jsky，網站平臺就有億思網站安全平臺檢測工具。MDCSOFT SCAN等。採用MDCSOFT-IPS能夠有效的防護SQL注入，XSS攻擊等。

3、Go語言防止SQL注入的方法

咱們採起了第二條思路和方法，即不用動態拼接SQL語句的方法，而是使用參數化查詢，即變量綁定。mysql

下面給出SQL注入攻擊安全漏洞代碼——拼接SQL語句：git

//數據庫
/*
 Navicat Premium Data Transfer

 Source Server         : localhost_3306
 Source Server Type    : MySQL
 Source Server Version : 50553
 Source Host           : localhost:3306
 Source Schema         : test

 Target Server Type    : MySQL
 Target Server Version : 50553
 File Encoding         : 65001

 Date: 28/02/2020 10:48:06
*/

SET NAMES utf8mb4;
SET FOREIGN_KEY_CHECKS = 0;

-- ----------------------------
-- Table structure for userinfo
-- ----------------------------
DROP TABLE IF EXISTS `userinfo`;
CREATE TABLE `userinfo`  (
  `uid` int(10) NOT NULL AUTO_INCREMENT,
  `username` varchar(64) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL,
  `password` varchar(64) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL,
  PRIMARY KEY (`uid`) USING BTREE
) ENGINE = MyISAM AUTO_INCREMENT = 14 CHARACTER SET = latin1 COLLATE = latin1_swedish_ci ROW_FORMAT = Dynamic;

-- ----------------------------
-- Records of userinfo
-- ----------------------------
INSERT INTO `userinfo` VALUES (2, 'aaa', 'hh');
INSERT INTO `userinfo` VALUES (4, 'ast', 'dddd');

SET FOREIGN_KEY_CHECKS = 1;
//test.go
package main

import (
    "database/sql"
    "fmt"
    _ "github.com/go-sql-driver/mysql"
    "html/template"
    "log"
    "net/http"
    "strings"
)
func login(w http.ResponseWriter, r *http.Request) {
    fmt.Println("method:", r.Method) //獲取請求的方法
    if r.Method == "GET" {
        t, _ := template.ParseFiles("D:/Golang/GoItem/go_ex/goSql/test.html")
        t.Execute(w, nil)
    } else {
        //請求的是查詢數據，那麼執行查詢的邏輯判斷
        r.ParseForm()
        fmt.Println("username:", r.Form["username"])
        var sename = strings.Join(r.Form["username"], "")
        var partname = strings.Join(r.Form["password"], "")
        db, err := sql.Open("mysql", "root:123456@/test?charset=utf8")
        infoErr(err)
        if sename != "" && partname != "" {
            var uid int
            var username string
            var password string
            //字符串拼接查詢
            err := db.QueryRow("SELECT * FROM userinfo WHERE username ='"+sename+"'AND password ='"+partname+"'").
                Scan(&uid, &username, &password)
            infoErr(err)
            //判斷返回的數據是否爲空
            if err == sql.ErrNoRows {
                fmt.Fprintf(w, "無該用戶數據")
            } else {
                if (sename == username) && (partname == password) {
                    fmt.Println(uid)
                    fmt.Println(username)
                    fmt.Println(password)
                    t, _ := template.ParseFiles("D:/Golang/GoItem/go_ex/goSql/success.html")
                    t.Execute(w, nil)
                }
            }
        } else if sename == "" || partname == "" {
            fmt.Fprintf(w, "錯誤，輸入不能爲空！")
        }

    }

}


func infoErr(err error) {
    if err != nil {
        panic(err)
    }
}

func main() {
    http.HandleFunc("/login",login)     //設置訪問的路由     //設置訪問的路由
    err := http.ListenAndServe(":9092", nil) //設置監聽的端口
    if err != nil {
        log.Fatal("ListenAndServe: ", err)
    }
}
//login.html
<html>
<head>
    <meta charset="utf-8" />
    <title>sql防注入</title>
    <style>
        form{
            width: 30vw;
            height: 30vh;
            min-height: 300px;
            margin: 10vh auto;
            border: 1px solid;
            border-radius: 4px;
        }
        form .username,.password{
           display: block;
            float: right;
        }
        div {
            width: 300px;
            height: 80px;
            margin: 30px auto 0;
        }
        input label {
            float: left;
            display: inline-block;
        }
        input {
            height: 30px;
        }
        .button {
            width: 100px;
            margin: auto;
            clear: both;
            display: block;
        }
    </style>
</head>
<body>
<form action="/login" method="post">
    <div>
        <label>username: </label>
        <input class="username" type="text" name="username">
    </div>
    <div>
        <label>password:</label>
        <input class="password" type="text" name="password">
    </div>
    <input class="button" type="submit" value="查詢">
</form>
</body>
</html>

解決防SQL注入方案——參數化查詢：github

//test.go
package main

import (
    "database/sql"
    "fmt"
    _ "github.com/go-sql-driver/mysql"
    "html/template"
    "log"
    "net/http"
    "strings"
)

func login(w http.ResponseWriter, r *http.Request) {
    fmt.Println("method:", r.Method) //獲取請求的方法
    if r.Method == "GET" {
        t, _ := template.ParseFiles("D:/Golang/GoItem/go_ex/goSql/login.html")
        t.Execute(w, nil)
    } else {
        //請求的是查詢數據，那麼執行查詢的邏輯判斷
        r.ParseForm()
        fmt.Println("username:", r.Form["username"])
        var sename = strings.Join(r.Form["username"], "")
        var partname = strings.Join(r.Form["password"], "")
        db, err := sql.Open("mysql", "root:123456@/test?charset=utf8")
        checkErr(err)
        if sename != "" && partname != "" {
            var uid int
            var username string
            var password string
            //參數查詢在必定程度上防止sql注入，參數化查詢主要作了兩件事:
            //1.參數過濾；2.執行計劃重用
            //由於執行計劃被重用，因此能夠防止SQL注入。
            err := db.QueryRow("SELECT * FROM userinfo WHERE username = ? AND password = ?", sename, partname).
                Scan(&uid, &username, &password)
            //判斷返回的數據是否爲空
            if err == sql.ErrNoRows {
                fmt.Fprintf(w, "無該用戶數據")
            } else {
                if (sename == username) && (partname == password) {
                    fmt.Println(uid)
                    fmt.Println(username)
                    fmt.Println(password)
                    t, _ := template.ParseFiles("D:/Golang/GoItem/go_ex/goSQL/success.html")
                    t.Execute(w, nil)
                }
            }
        } else if sename == "" || partname == "" {
            fmt.Fprintf(w, "錯誤，輸入不能爲空！")
        }

    }

}

func checkErr(err error) {
    if err != nil {
        panic(err)
    }
}

func main() {
    http.HandleFunc("/login", login)     //設置訪問的路由
    err := http.ListenAndServe(":9090", nil) //設置監聽的端口
    if err != nil {
        log.Fatal("ListenAndServe: ", err)
    }
}

4、SQL注入判斷

執行登陸查詢的數據庫語句："SELECT * FROM userinfo WHERE username ='"+sename+"'AND password ='"+partname+"'"正則表達式

當查詢到數據表中存在同時知足 username 和 password 字段時，會返回用戶信息。 嘗試在用戶名中輸入 123' or 1=1 #, 密碼一樣輸入 123' or 1=1 # ，實際執行的SQL語句是select * from users where username='123' or '1'='1' and password='123' or '1'='1sql

則會出現一個空白頁面，其實此時SQl注入已經繞過驗證進入到須要身份驗證的頁面。數據庫

而若是執行"SELECT * FROM userinfo WHERE username = ? AND password = ?", sename, partname安全

再次輸入123' or 1=1 #，則會被攔截下來，顯示無該用戶數據。服務器

5、爲何參數化查詢會防止SQL注入

咱們須要知道參數化查詢都作了些什麼事：工具

1.參數過濾；

2.執行計劃重用

它的原理是採用了預編譯的方法，先將SQL語句中可被客戶端控制的參數集進行編譯，生成對應的臨時變量集，再使用對應的設置方法，爲臨時變量集裏面的元素進行賦值，而QueryRow()方法會對傳入參數進行強制類性檢查和安全檢查，因此就避免了SQL注入的產生。

QueryRow("SELECT * FROM userinfo WHERE username = ? AND password = ?", sename, partname).
                Scan(&uid, &username, &password)
相關文章
相關標籤/搜索
每日一句
    每一个你不满意的现在，都有一个你没有努力的曾经。
本站公眾號
   歡迎關注本站公眾號,獲取更多信息
聯繫我們 最近搜索 最新文章 沪ICP备13005482号-10 MyBatis教程 SQL 教程 MySQL教程 Java 教程 Thymeleaf 教程 Hibernate教程 Spring教程 Redis教程