欢迎来到Doc100.Net免费学习资源知识分享平台!
您的位置:首页 > 程序异常 >

ibatis.net防sql流入

更新时间: 2014-01-05 02:06:58 责任编辑: Author_N1

 

Ibatis.net防Sql注入
Ibatis.net防Sql注入
(转自http://www.cnblogs.com/paltech/p/3368317.html#2797879)
sql注入是一个古老的话题了,但经常会被我们忽略。尤其是使用了ibatis.net之后。
Ibatis.net框架对sql注入问题已经做了很好的防护,但经常由于开发人员使用不当,会造成sql的注入隐患。在模糊查询中,经常会忽略这一问题。如下面的这个例子:
我们有一张UserInfo表,字段Name表示用户姓名,需要按用户名进行模糊查询,于是乎sqlmap写法如下:
select * from UserInfo where Name like '%$Name$%'
$Name$是有用户界面传入的,这样sql注入就成立了,用户输入 %' or 1=1 or name like '%,执行语句变成了这样:
select * from UserInfo where Name like '%%' or 1=1 or name like '%%',查询了所有的用户。
如果用户输入 ';delete from pt_userinfo where personid like ',执行语句变成这样:
select * from UserInfo where Name like '%';delete from UserInfo where personid like '%',这将是灾难性的后果。
解决方案,在模糊查询的地方,不要使用$$,而是要使用##,sqlmap的正确写法:
select * from UserInfo where Name like '%'+ #Name# + '%'
这样,当用户试图进行sql注入时,ibatis.net将进行防注入检查,如果检测到sql注入,将返回结果一个空集。
后续思考:ibatis.net中$$和##的区别
在ibatis.net中,$$只是简单的字符串拼接,ibatis.net不做任何处理,对于##,ibatis.net会采用参数化命令方式进行处理,有效防止sql注入。但为什么ibatis.net不将$$去掉,$$是有自己的特殊场景的,如果需要查询前十条记录,sqlmap写法如下:
select top $limit$ * from UserInfo,由于$$只是简单拼接,limit=10,执行语句为:select top 10 * from UserInfo;
如果sqlmap写为:
select top #limit# * from UserInfo,limit=10,执行语句为:select top '10' * from UserInfo;显然执行会报错的,达不到预期效果。

上一篇:上一篇
下一篇:下一篇

 

随机推荐程序问答结果

 

 

如对文章有任何疑问请提交到问题反馈,或者您对内容不满意,请您反馈给我们DOC100.NET论坛发贴求解。
DOC100.NET资源网,机器学习分类整理更新日期::2014-01-05 02:06:58
如需转载,请注明文章出处和来源网址:http://www.doc100.net/bugs/t/5785/
本文WWW.DOC100.NET DOC100.NET版权所有。