JSP使用过滤器防止SQL注入的简单实现
什么是sql注入攻击?引用百度百科的解释:
sql注入_百度百科:
所谓sql注入,就是通过把sql命令插入到web表单提交或输入域名或页面请求的查询字符串,最终达到欺骗服务器执行恶意的sql命令。具体来说,它是利用现有应用程序,将(恶意)的sql命令注入到后台数据库引擎执行的能力,它可以通过在web表单中输入(恶意)sql语句得到一个存在安全漏洞的网站上的数据库,而不是按照设计者意图去执行sql语句。[1] 比如先前的很多影视网站泄露vip会员密码大多就是通过web表单递交查询字符暴出的,这类表单特别容易受到sql注入式攻击.
sql注入攻击指的是通过构建特殊的输入作为参数传入web应用程序,而这些输入大都是sql语法里的一些组合,通过执行sql语句进而执行攻击者所要的操作,其主要原因是程序没有细致地过滤用户输入的数据,致使非法数据侵入系统。
filter功能:
它使用户可以改变一个 request和修改一个response. filter 不是一个servlet,它不能产生一个response,它能够
在一个request到达servlet之前预处理request,也可以在离开 servlet时处理response.
换种说法,filter其实是一个”servlet chaining”(servlet 链). 所以用户发出的任何request都必然经过filter处理,我们就在filter处理用户request包含的敏感关键字,然后replace掉或是让页面转到错误页来提示用户,这样就可以很好的防sql注入了。
具体实现代码:
/yourproject/src/com/sqlfilter.java
package com; import java.io.ioexception; import java.util.enumeration; import javax.servlet.filter; import javax.servlet.filterchain; import javax.servlet.filterconfig; import javax.servlet.servletexception; import javax.servlet.servletrequest; import javax.servlet.servletresponse; import javax.servlet.http.httpservletrequest; import javax.servlet.http.httpservletresponse; //过滤sql关键字的filter public class sqlfilter implements filter { public void dofilter(servletrequest request, servletresponse response, filterchain chain) throws ioexception, servletexception { httpservletrequest req = (httpservletrequest) request; httpservletresponse res = (httpservletresponse) response; //获得所有请求参数名 enumeration params = req.getparameternames(); string sql = ""; while (params.hasmoreelements()) { //得到参数名 string name = params.nextelement().tostring(); //system.out.println("name===========================" + name + "--"); //得到参数对应值 string[] value = req.getparametervalues(name); for (int i = 0; i < value.length; i++) { sql = sql + value[i]; } } system.out.println("被匹配字符串:"+sql); if (sqlvalidate(sql)) { res.sendredirect("error.jsp"); } else { chain.dofilter(req, res); } } //校验 protected static boolean sqlvalidate(string str) { str = str.tolowercase();//统一转为小写 //string badstr = "and|exec"; string badstr = "'|and|exec|execute|insert|select|delete|update|count|drop|chr|mid|master|truncate|char|declare|sitename|net user|xp_cmdshell|or|like"; /*string badstr = "'|and|exec|execute|insert|create|drop|table|from|grant|use|group_concat|column_name|" + "information_schema.columns|table_schema|union|where|select|delete|update|order|by|count|*|" + "chr|mid|master|truncate|char|declare|or|;|-|--|+|,|like|//|/|%|#"; */ //过滤掉的sql关键字,可以手动添加 string[] badstrs = badstr.split("\\|"); for (int i = 0; i < badstrs.length; i++) { if (str.indexof(badstrs[i]) !=-1) { system.out.println("匹配到:"+badstrs[i]); return true; } } return false; } public void init(filterconfig filterconfig) throws servletexception { //throw new unsupportedoperationexception("not supported yet."); } public void destroy() { //throw new unsupportedoperationexception("not supported yet."); } }
注意上面第50行 如果用“|”作为分隔的话,必须是如下写法:string.split("\\|"),这样才能正确的分隔开,不能用string.split("|");
/yourproject/webcontent/web-inf/web.xml(在web.xml中过滤器添加过滤器配置):
<!-- sql filter --> <filter> <filter-name>sqlfilter</filter-name> <filter-class>com.sqlfilter</filter-class> </filter> <filter-mapping> <filter-name>sqlfilter</filter-name> <url-pattern>/*</url-pattern> </filter-mapping>
/yourproject/webcontent/error.jsp(检测到sql关键词跳转到的页面):
<%@ page language="java" contenttype="text/html; charset=utf-8" pageencoding="utf-8"%> <!doctype html public "-//w3c//dtd html 4.01 transitional//en" "http://www.w3.org/tr/html4/loose.dtd"> <html> <head> <meta http-equiv="content-type" content="text/html; charset=utf-8"> <title>error</title> </head> <body> <div align="center"> <br> <h4>非法输入</h4> <p><input type="button" name="back" value="返回" onclick="javascript:history.go(-1);"/> </div> </body> </html>
将上面的过滤器加入到自己的项目中可以简单地防止sql注入,严格防止注入还需采取更有效的措施。
同理,我们也可以使用过滤器实现敏感词的屏蔽功能,用法和防止sql注入类似,自行探索!
我是分割线
-----------------------------------------
更多防范sql注入的措施:
1.对输入进行严格的限制和过滤
2.对一些应用如数据库的连接进行有效的ip限定
3.尽可能减少cgi程序中的系统调用
4.使用web扫描器预先扫描系统
5.下载sql通用防注入系统的程序,在需要防范注入的页面头部用<!--# include file=”xxx.asp”-- >来防止别人进行手动注入测试 (针对asp网页)
6.设置陷阱账号:设置两个帐号,一个是普通管理员帐号,一个是防注入的帐号。将防注入的账号设置的很象管理员,如 admin,以制造假象吸引软件的检测,而密码是大于千字以上的中文字符,迫使软件分析账号的时候进入全负荷状态甚至资源耗尽而死机。
以上这篇jsp使用过滤器防止sql注入的简单实现就是小编分享给大家的全部内容了,希望能给大家一个参考,也希望大家多多支持。