本文是 Java Web 工程源代码安全审计实战的第 2 部分,首要解说 WebGoat 工程的 SQL 注入源码审计思路和攻防演练。包含一般的 SQL 字符注入和 SQL 盲注两个事例,并扩展评论了 NoSQL 注入的审计思路。
回页首
SQL 注入过错发作的必要条件有两个,首要是程序运用来自不行信赖的数据源的数据,其次是程序中动态拼接字符串结构 SQL 查询句子。
例如以下代码,榜首句动态结构,第二句履行了一个 SQL 查询,搜索和指定用户名相匹配的用户数据条目。
String query = "SELECT * FROM user_data WHERE last_name = '" + accountName + "'";
ResultSet results = statement.executeQuery(query);
动态结构的查询句子拼接了用户输入的字符串 accountName。假如进犯者输入字符串"anyName' OR 'a'='a",那么结构的查询句子就会变成:
SELECT * FROM user_data WHERE last_name = 'anyName' OR 'a'='a';
附加条件 OR 'a'='a' 使 WHERE 从句永真,逻辑上等同于:
SELECT * FROM user_data;
这样进犯者绕过用户名验证,查询成果能回来表格一切用户条目。
源代码审计发现 SqlStringInjection.java 第 101 行 injectableQuery() 办法运用动态拼接字符串进行 SQL 查询。进犯者能够结构歹意字符串。本例中,完结一次完好的污染传达 source-path-sink 三过程如下:
上图来自 Fortify 剖析东西,赤色箭头指示传达途径,右紫色框代表 Source,左赤色框代表 Sink。
SqlStringInjection.java 第 101 行 injectableQuery() 办法,运用了来自不行信数据源的污染数据,代码片段如下:
进犯场景
在已布置的 WebGoat 工程,翻开出产环境,在左边导航目录下点选"Injection Flaws -> String SQL Inject", 在右侧页面文本框输入字符串"anyName' OR 'a'='a",点击’Go’提交页面。
WebGoat 工程本例页面规划为服务器回来履行成果搜索内容,由浏览器改写页面显现表格。进犯者能够从页面越权直接获取后台数据库信息。实际工程中,即使浏览器不直接显现 SQL 注入查询的内容,进犯者也能够经过 SQL 盲注,猜想感兴趣的内容。这将鄙人一个审计事例中演示。
源代码静态扫描发现 BlindNumericSqlInjection.java 第 114 行 createContent() 办法运用动态拼接字符串进行 SQL 查询。进犯者能够结构歹意字符串。
本例中完结一次完好的污染传达 Source-Path-Sink 三过程。
首要 ParameterParser.java 第 615 行运用 getParameterValues() 从网页用户恳求 request 获取数据,代码片段:
ParameterParser.java 第 597 行运用 getRawParameter() 传达污染数据,代码段如下:
BlindNumericSqlInjection.java 第 80 行运用污染数据对 accountNumber 赋值,并用 accountNumber 拼接 query 字符串,代码段如下:
下图来自 Fortify 剖析东西,赤色箭头指示传达途径,右紫色框代表 Source,左赤色框代表 Sink。
[1] [2] [3] 黑客接单网
「整人代码_丢狗找黑客被骗-找黑客帮我盗qq」Apache是一个很受欢迎的web服务器软件,其安全性关于网站的安全运营可谓生死攸关。 下面介绍一些可协助管理员在Linux上装备Apache保证其安全的...
波克斗地主 2.212014/3/13 15:56试验环境22、通吃一切商城+动力上传体系第一种技能是一个陈旧的被称为“跨协议脚本”的技能,2001年宣布的论文详细描述了此进犯,但要害的是无论是Red...
验证过程:补丁下载链接.text:0000000000466AF9 add rdi, 32D60hWindows XP(已停止维护)借来赌博的钱没有写借条的钱能要回来吗?, 该漏洞已在10.24版本中...
APP及网站注册电子邮件进犯了解这些后,咱们能够编写一个protobuf标准,让咱们能够对后端履行一系列API调用,并处理它宣布的一切恳求。 因为Chrome的代码答应咱们掩盖本地含糊测验输入的网络数...
例如,假如咱们从这个ArrayBuffer的Int8视图获取元素0和1,那么它将给出与Uint16视图中的元素0不同的值,即便它们包括完全相同的位。 无16、football (↓ 7)最终两项便是在...
// JNDI 获取 RMI 上的办法目标并进行调用 613、现在GOOGLE搜索要害字 intitle:网站小帮手 inurl:asp在本教程中,咱们做出了一些示例查询,查找的...