深入浅出SQL注入

小程序：扫一扫查出行
【扫一扫了解最新限行尾号】
复制小程序

原文:深入浅出SQL注入

之前在做学生信息管理系统和机房收费系统的时候,对于SQL注入的问题已经是司空见惯,但是并没有真正的地形象生动的理解SQL注入到底是什么玩意儿.直到这次做牛腩才在牛老师的举例之下,明白了原来SQL注入是真的很危险啊.

问题提出：

我们先来构造一个简单的添加新闻类别的程序，在动态网页上添加一个TextBox控件，一个Button控件，一个GridView控件。布局如下图所示：

然后为控件编写代码如下：

先来看SQLHelper类中用来执行sql语句的函数

public int ExecuteNonQuery(string sql)
{
int res;
try
{
cmd = new SqlCommand(sql,GetConn());
res = cmd.ExecuteNonQuery();
}
catch (Exception ex)
{
throw ex;
}
finally {
if (conn.State ==ConnectionState.Open)
{
conn.Close();
}
}
return res;
}

然后是用来进行插入数据的函数Insert

public bool Insert(string caName)
{
bool flag = false;
string sql = "insert intocategory(name) values('"+caName +"')";
int res =sqlhelper.ExecuteNonQuery(sql);
if (res > 0)
{
flag = true;
}
return flag;
}

最后是在页面代码中编写按钮的单击事件代码

protected void Button1_Click(object sender,EventArgs e)
{
string caName = TextBox1.Text;
bool b = newCategoryDAO().Insert(caName);
Response.Write(b);
GridView1.DataSource = newCategoryDAO().SelectAll();
GridView1.DataBind();
}

调试没问题之后，运行程序，结果如下图

当我们在输入框中输入“奇闻异事')delete category where id=5--”之后，单击按钮，结果如下：

当时我看到这个结果的时候，很是震惊，就这么轻易的把数据库里的数据删除了？这是为什么呢？我们把代码中的SQL语句提取出来，然后将输入的内容也放进去，来分析一下原因，如下图

这只是SQL注入的一个简单的例子而已，还有好多种形式的SQL注入。只要能够获取你的数据库表名（对于高手来说，这个so
easy），而且你的代码没有经过安全性优化，那么我就可以随意更改甚至删除你的数据，上面的只是删除了一条记录，如果把语句改成delete category，那么整个表的数据将会被清空，后果很严重啊。

解决方案：

一种办法就是将输入的内容参数化，即将原本拼接SQL语句的方式变成向SQL语句中传入参数。具体来讲，就是将Insert函数改造一下，并且将SQLHelper类中的相应函数也改写一下，代码如下：

先来看SQLHelper的函数如何改写：

public int ExecuteNonQuery(string sql ,SqlParameter [] paras)
{
int res;
using (cmd =new SqlCommand (sql ,GetConn ()))
{
cmd.Parameters.AddRange(paras );
res =cmd .ExecuteNonQuery ();
}
return res;
}

然后是Insert函数的优化代码：

public bool Insert(string caName)
{
bool flag = false;
string sql = "insert into category(name) values(@caName)";
SqlParameter[] paras = new SqlParameter[]{
new SqlParameter ("@caName",caName )
};
int res = sqlhelper.ExecuteNonQuery(sql, paras);
if (res > 0)
{
flag = true;
}
return flag;
}

优化之后调试没问题，运行程序，结果如下：