什么是SQL注入攻擊?

所謂SQL注入，就是通過(guò)把SQL命令插入到Web表單提交或輸入域名或頁(yè)面請(qǐng)求的查詢字符串，最終達(dá)到欺騙服務(wù)器執(zhí)行惡意的SQL命令。具體來(lái)說(shuō)，它是利用現(xiàn)有應(yīng)用程序，將（惡意）的SQL命令注入到后臺(tái)數(shù)據(jù)庫(kù)引擎執(zhí)行的能力，它可以通過(guò)在Web表單中輸入（惡意）SQL語(yǔ)句得到一個(gè)存在安全漏洞的網(wǎng)站上的數(shù)據(jù)庫(kù)，而不是按照設(shè)計(jì)者意圖去執(zhí)行SQL語(yǔ)句。[1] 比如先前的很多影視網(wǎng)站泄露VIP會(huì)員密碼大多就是通過(guò)WEB表單遞交查詢字符暴出的，這類表單特別容易受到SQL注入式攻擊． SQL注入攻擊指的是通過(guò)構(gòu)建特殊的輸入作為參數(shù)傳入Web應(yīng)用程序，而這些輸入大都是SQL語(yǔ)法里的一些組合，通過(guò)執(zhí)行SQL語(yǔ)句進(jìn)而執(zhí)行攻擊者所要的操作，其主要原因是程序沒有細(xì)致地過(guò)濾用戶輸入的數(shù)據(jù)，致使非法數(shù)據(jù)侵入系統(tǒng)。

正常登錄：

用戶名：admin 密碼：admin

SQL注入漏洞測(cè)試:

• 在正常用戶名admin后增加一個(gè)單引號(hào)，單擊"登錄"

• 或在URL地址欄直接輸入http://127.0.0.1:8081/login.asp?name=admin'&pass=admin

• 若出錯(cuò)，證明沒有對(duì)'進(jìn)行過(guò)濾，存在SQL注入漏洞

那么如何防范出現(xiàn)這種情況呢。說(shuō)白了直接獲取字符串過(guò)濾判斷即可，那么以下就是一個(gè)高可用的字符串判斷方法。

可以直接使用。

package StrTest;import java.util.regex.Matcher; import java.util.regex.Pattern;public class demo {public static void main(String[] args) {boolean isf = containsSqlInjection("http://127.0.0.1:8081/login?name=admin &pass=admin' and '1=1");System.out.println(isf?"sql注入攻擊":"安全字符串");}/*** 是否含有sql注入，返回true表示含有* * @param obj* @return*/public static boolean containsSqlInjection(Object obj) {Pattern pattern = Pattern.compile("\\b(and|exec|insert|select|drop|grant|alter|delete|update|count|chr|mid|master|truncate|char|declare|or)\\b|(\\*|;|\\+|'|%)");Matcher matcher = pattern.matcher(obj.toString());return matcher.find();}}

希望能給大家?guī)?lái)一定的幫助。

總結(jié)

以上是生活随笔為你收集整理的防范sql注入式攻击(Java字符串校验，高可用性)的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問(wèn)題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。