焦玉华

（山东工商学院，山东 烟台 264005）

WEB系统中SQL注入防御方法的研究

焦玉华

（山东工商学院，山东 烟台 264005）

SQL注入风险已成为WEB应用最大的安全隐患之一，通过介绍SQL注入的本质及特点，详细分析了SQL注入的一般思路和实现方法，最后从服务器IIS设置、数据库设置和程序编写三个方面提出了针对SQL注入的防御措施。

网络安全；SQL注入攻击；SQL注入点

1 引言

随着WEB技术的迅速发展，基于B/S结构的WEB应用得到了广泛的普及，涉及到教育、金融、社交等多个领域，这使得其安全问题备受关注。在OWASP（开放式web应用程序安全项目）研究公布的WEB应用程序最可能、最常见、最危险的十大安全隐患中，SQL注入风险位居前列，并因其普遍程度高，危害程度大，成为目前主要的WEB应用攻击方法之一。本文以ASP+SqlServer为例，介绍SQL注入的过程和防御方法。

2 SQL注入概述

2.1SQL注入的本质

SQL注入攻击就其本质而言，就是攻击者利用SQL语法的特点，针对应用程序开发者编程过程中没有对用户的输入数据进行合法性验证的漏洞，向应用程序中插入一些SQL语句来实现对数据库未经授权的访问和检索，根据WEB页面返回的结果，获得自己想要的数据。

2.2SQL注入的特点

（1）攻击的广泛性。由于SQL注入是利用的SQL语法，因此在理论上讲，只要支持SQL语言标准的数据库软件都有可能受到SQL注入的攻击，例如MS Sql Server、Mysql、Oracle、DB2等。

（2）技术门槛低。SQL注入的原理相对简单，易于掌握和实施。只要有SQL语法基础的人都可以进行SQL注入攻击，同时还有很多专门的SQL注入工具，例如SQLMAP、HDSI，这样即使完全不懂编程、不懂 SQL语法的人的都可以进行SQL注入攻击。……