SQL注入攻击与防御

2012-09-18吴金秀

湖南邮电职业技术学院学报 2012年4期

吴金秀

(黄冈职业技术学院，湖北黄冈 438000)

据CNNIC中国互联网络信息中心2009年7月16日发布的《第24次中国互联网络发展状况调查统计报告》中显示，我国共有网民数量3.38亿人，网站数量306.1万个，半年内有1.95亿网民在上网过程中遇到过病毒和木马的攻击，1.1亿网民遇到过账号或密码被盗的问题。

而据多种调查显示，目前SQL注入攻击是造成上述严重情况的根本原因之一，也是黑客对数据库进行攻击的常用手段之一。随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于程序员的水平及经验参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患，这也给黑客带来很多可乘之机。

随着B/S模式被广泛的应用，基于B/S模式编写的应用程序越来越多。由于编写代码时没有对用户输入数据或者页面中所携带的信息（如Cookie）的合法性进行判断，使应用程序存在安全隐患。SQL注入攻击对页面的访问和普通的Web页面访问一样，通过正常的WWW端口访问，防火墙不会对SQL注入攻击发出警报。如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。SQL注入的手法相当灵活，它巧妙的构造SQL语句，从而获取想要的数据。如身份窃取、私密信息窃取、带宽资源占用等。它们潜入之后，还会扩散并不断更新自己，给应用程序和用户带来了严重的危害。