| VB 源码 | VC 源码 | ASP源码 | JSP源码 | PHP源码 | CGI源码 | FLASH源码 | 素材模板 | C 源程序 | 站长工具 | 站长教程 |

黑客技术

木马病毒
黑客技术
系统安全
防火墙
安全防范

本类阅读TOP10

·五种windows密码设置及破解
·穿过局域网的我的手 内网远程控制全攻略
·不用任何软件(木马程序)盗取账号密码
·EXE、DLL文件的脱壳
·黑客技术:SQL入侵教程
·美萍的破解方法
·Windows黑客编程基础
·硬盘还原卡的破解
·win2000密码破解不完全指南
·大话网络之经典入侵技术

站内搜索

防范SQL指令植入式攻击
什么是SQL 指令植入式攻击?
                  在设计或者维护 Web 网站时,你也许担心它们会受到某些卑鄙用户的恶意攻击。的确,如今的 Web
                  网站开发者们针对其站点所在操作系统平台或Web 服务器的安全性而展开的讨论实在太多了。不错,IIS
                  服务器的安全漏洞可能招致恶意攻击;但你的安全检查清单不应该仅仅有 IIS
                  安全性这一条。有些代码,它们通常是专门为数据驱动(data-driven) 的 Web 网站而设计的,实际上往往同其它
                  IIS 漏洞一样存在严重的安全隐患。这些潜伏于代码中的安全隐患就有可能被称为“SQL 指令植入式攻击” (SQL
                  injection) 的手段所利用而导致服务器受到攻击。
                  SQL 指令植入式攻击技术使得攻击者能够利用 Web 应用程序中某些疏于防范的输入机会动态生成特殊的 SQL
                  指令语句。举一个常见的例子:
                  某 Web 网站采用表单来收集访问者的用户名和密码以确认他有足够权限访问某些保密信息,然后该表单被发送到 Web
                  服务器进行处理。接下来,服务器端的ASP 脚本根据表单提供的信息生成 SQL 指令语句提交到 SQL 服务器,并通过分析
                  SQL 服务器的返回结果来判断该用户名/密码组合是否有效。
                  为了实现这样的功能,Web 程序员可能会设计两个页面:一个 HTML 页面 (Login.htm) 用于登录,另一个ASP
                  页面 (ExecLogin.asp) 用于验证用户权限(即向数据库查询用户名/密码组合是否存在)。具体代码可能象这样:
                  Login.htm (HTML 页面)
                  代码:<form action="ExecLogin.asp" method="post"> Username:
                  <input type="text" name="txtUsername"><br> Password: <input
                  type="password" name="txtPassword"><br> <input type="submit">
                  </form>

                  ExecLogin.asp (ASP 页面)
                  代码:<% Dim p_strUsername, p_strPassword, objRS, strSQL
                  p_strUsername = Request.Form("txtUsername") p_strPassword =
                  Request.Form("txtPassword") strSQL = "SELECT * FROM tblUsers "
                  & _ "WHERE Username=" & p_strUsername & _ " and Password=" &
                  p_strPassword & "" Set objRS =
                  Server.CreateObject("ADODB.Recordset") objRS.Open strSQL,
                  "DSN=..." If (objRS.EOF) Then Response.Write "Invalid login."
                  Else Response.Write "You are logged in as " &
                  objRS("Username") End If Set objRS = Nothing %>

                  乍一看,ExecLogin.asp
                  的代码似乎没有任何安全漏洞,因为用户如果不给出有效的用户名/密码组合就无法登录。然而,这段代码偏偏不安全,而且它正是SQL
                  指令植入式攻击的理想目标。具体而言,设计者把用户的输入直接用于构建SQL 指令,从而使攻击者能够自行决定即将被执行的 SQL
                  指令。例如:攻击者可能会在表单的用户名或密码栏中输入包含“ or ”和“=” 等特殊字符。于是,提交给数据库的 SQL
                  指令就可能是:
                  代码:SELECT * FROM tblUsers WHERE Username= or = and Password =
                  or =

                  这样,SQL 服务器将返回 tblUsers 表格中的所有记录,而 ASP 脚本将会因此而误认为攻击者的输入符合
                  tblUsers 表格中的第一条记录,从而允许攻击者以该用户的名义登入网站。
                  SQL 指令植入式攻击还有另一种形式,它发生在 ASP 服务器根据 querystring
                  参数动态生成网页时。这里有一个例子,此 ASP 页面从 URL 中提取出 querystring 参数中的 ID
                  值,然后根据 ID 值动态生成后继页面:
                  代码:<% Dim p_lngID, objRS, strSQL p_lngID = Request("ID")
                  strSQL = "SELECT * FROM tblArticles WHERE ID=" & p_lngID Set
                  objRS = Server.CreateObject("ADODB.Recordset") objRS.Open
                  strSQL, "DSN=..." If (Not objRS.EOF) Then Response.Write
                  objRS("ArticleContent") Set objRS = Nothing %>

                  在一般情况下,此 ASP 脚本能够显示具有特定 ID 值的文章的内容,而 ID 值是由 URL 中的 querystring
                  参数指定的。例如:当URL为 http://www.example.com/Article.asp?ID=1055
                  时,ASP 就会根据 ID 为 1055 的文章提供的内容生成页面。
                  如同前述登录页面的例子一样,此段代码也向SQL 指令植入式攻击敞开了大门。某些恶意用户可能会把 querystring
                  中的文章 ID 值偷换为“0 or 1=1”等内容(也就是说,把 URL 换成
                  http://www.example.com/Article.asp?ID=0 or 1=1) 从而诱使 ASP
                  脚本生成不安全的 SQL 指令如:
                  代码:SELECT * FROM tblArticles WHERE ID=0 or 1=1
                  于是,数据库将会返回所有文章的内容。
                  当然了,本例服务器所受的攻击不一定会引起什么严重后果。可是,攻击者却可能变本加厉,比如用同样的手段发送 DELETE 等
                  SQL 指令。这只需要简单地修改前述 URL 中的 querystring 参数就可以了!例如:任何人都可以通过
                  “http://www.example.com/Article.asp?ID=1055; DELETE FROM
                  tblArticles ” 之类的 URL 来访问 Web 网站。
                  SQL 指令植入式攻击的危害
                  SQL 指令植入式攻击可能引起的危害取决于该网站的软件环境和配置。当 Web
                  服务器以操作员(dbo)的身份访问数据库时,利用SQL
                  指令植入式攻击就可能删除所有表格、创建新表格,等等。当服务器以超级用户 (sa) 的身份访问数据库时,利用SQL
                  指令植入式攻击就可能控制整个 SQL 服务器;在某些配置下攻击者甚至可以自行创建用户帐号以完全操纵数据库所在的
                  Windows 服务器。
                  杜绝SQL 指令植入式攻击
                  杜绝SQL 指令植入式攻击的第一步就是采用各种安全手段监控来自 ASP request 对象 (Request 、
                  Request.QueryString 、 Request.Form 、 Request.Cookies 和
                  Request.ServerVariables) 的用户输入,以确保 SQL 指令的可靠性。具体的安全手段根据你的 DBMS
                  而异,下面给出的都是基于 MS SQL Server的例子。
                  在前述登录页面的例子中,脚本期望得到的两个输入变量 (txtUserName 和
                  txtPassword)均为字符串类型。无论用户在哪个参数中插入单引号,他都可能让数据库执行单引号中的 SQL
                  指令。为了杜绝此类SQL 指令植入式攻击,我们可以借助 Replace 函数剔除单引号,比如:
                  代码:p_strUsername = Replace(Request.Form("txtUsername"), "",
                  "") p_strPassword = Replace(Request.Form("txtPassword"), "",
                  "")
                  在第二个例子中,脚本期望的输入变量是长整型变量 (ID) 。用户可以通过在 ID 参数中插入特殊字符来运行不安全的 SQL
                  指令。为了为了杜绝此类SQL 指令植入式攻击,我们只需要借助 CLng 函数限制 ID 值为长整型变量,比如:
                  代码:p_lngID = CLng(Request("ID"))

                  当用户试图在 ID 中包含特殊字符时,CLng 就会产生一个错误。
                  为了进一步减少SQL
                  指令植入式攻击的危胁,请务必清除客户端错误信息文本中的所有技术资料。某些错误信息往往泄露了技术细节,从而让攻击者可以看出服务器的安全漏洞所在。这里指的错误信息不但包括应用程序生成的消息框,还包括来自
                  IIS 的出错提示。为此,你可以禁止由 IIS
                  发送的详细错误信息,而改用自定义的出错页面。(关于创建自定义的出错页面的更多信息,请务必参阅 《Creating
                  Custom ASP Error Pages》。)
                  最后,为了减轻SQL 指令植入式攻击的危害,请限制 Web 应用程序所用的数据库访问帐号权限。一般来说,应用程序没有必要以
                  dbo 或者 sa
                  的身份访问数据库。记住,给它的权限越少,你的网站越安全!你还可以考虑分别给每个需要访问数据库的对象分配只拥有必需权限的帐号,以分散安全漏洞。例如:同是前端用户界面,当用于公共场所时就比用于具有本地内容管理机制的平台时更加需要严格限制数据库访问权限。




相关文章
  • 浅谈如何在惊云下载系统中防范注入式攻击
  • 入侵NTserver典型途径攻击基础
  • 防范网页木马的攻击
  • 防范SQL注入式攻击JS版本
  • 用ASP.NET 1.1 新特征防止Script攻击
  • 剖析"拒绝服务"攻击-SYN拒绝服务
  • Winamp发现危险漏洞!攻击代码已经出现
  • 防范SQL注入式攻击
  • 中小型网站如何对付DoS攻击
  • php程序常见漏洞攻击宝典
  • 中小网站如何对付DoS攻击(中级)
  • SQLServer7.0sa帐号密码攻击法
  • W2kUtilManExp攻击程序代码及工具分析
  • 黑客攻击手段揭秘
  • SYN Flood攻击的基本原理及防御
  • 一次被DNS攻击后的分析
  • 防止E-MAIL信箱被攻击
  • 网络攻击概述
  • 修改注册表提高Win2000抗拒绝服务攻击能力
  • MYSQL用户root密码为弱口令又一攻击方法
  • 相关软件


    下载首页关于我们广告服务联系方式常见问题隐私声明法律条款本站声明下载帮助发布软件站点地图谷歌卫星地图