【Web】基于Mybatis的SQL注入漏洞利用点学习笔记

目录

MyBatis传参占位符区别

不能直接用#{}的情况

in多参数值查询

[like %%模糊查询](#like %%模糊查询)

[order by列名参数化](#order by列名参数化)


MyBatis传参占位符区别

在 MyBatis 中,#{}${} 都是用于传参的占位符,但它们之间有很大的区别,主要体现在两个方面:参数值的类型和 SQL 注入问题。

1.参数值的类型:

① #{} 是预编译参数,表示使用 PreparedStatement 时,使用 setXXX() 方法设置参数值,会对传入的参数进行类型处理,确保传递的参数类型正确。一般来说,我们在使用 MyBatis 进行 CRUD 操作时,都应该使用 #{} 来传递参数,这样可以有效地避免 SQL 注入问题。

{} 是字符串拼接,表示在 SQL 语句中直接插入传入的参数值,不会对传入的参数类型进行处理。如果传入的参数是字符串类型,那么在 SQL 语句中使用时,需要使用单引号将其括起来,否则会抛出 SQL 语法错误异常。因此,在使用 {} 时,需要特别注意避免 SQL 注入问题。

简而言之:

复制代码
如果传入Z3r'4y
# PrepareStatement ? 填充参数 类型化 转义处理 返回一个'Z3r\'4y'
$ Statement 拼接参数 返回一个Z3r'4y

2.SQL 注入问题:

① #{} 可以避免 SQL 注入问题,因为它会对传入的参数进行类型处理,并将参数值转义后再放到 SQL 语句中,保证了 SQL 语句的安全性。

② ${} 存在 SQL 注入问题,因为 SQL 语句中插入的是传入的参数值,如果参数值中包含 SQL 语句的关键字或特殊字符,可能会导致 SQL 注入攻击。

举个例子:

复制代码
<!-- 使用#,不存在漏洞;默认都是PREPARED-->
    <select id="findUserById" resultType="com.example.mybaits.entity.User" statementType="PREPARED">
        SELECT * FROM tbuser where id= #{id}
    </select>

<!-- 使用$,存在注入漏洞 -->
    <select id="findUserByName" resultType="com.example.mybaits.entity.User">
        SELECT * FROM tbuser where userName='${username}'
    </select>

总结一下:原则就是能用#{}就不要用${}

不能直接用#{}的情况

因为一些sql语言的性质,一些情况不能直接用#{}(传参强制被引号包裹导致sql语义错误)

比如下面这种情况:

如果直接SELECT * FROM tbuser where id in (#{ids})并传参ids=1,2,3就会拼接成:

SELECT * FROM tbuser where id in ('1,2,3');

从而出现只调出一行的谬误

解决方案如下:

in多参数值查询

复制代码
 <!-- in查询,错误写法 -->
    <select id="findUserInIds" resultType="com.example.mybaits.entity.User" >
        SELECT * FROM tbuser where id in (${ids})
    </select>

    <!-- in查询,正确写法 -->
    <select id="findUserInIdsRight" resultType="com.example.mybaits.entity.User" >
        SELECT * FROM tbuser where id in
        <foreach collection="list" item="ids" open="(" close=")" separator=",">
            #{ids}
        </foreach>
    </select>

like %%模糊查询

复制代码
 <!-- 模糊查询,错误写法 -->

<select id="findUserLikeName" resultType="com.example.mybaits.entity.User">
        SELECT * FROM tbuser where userName like '%${username}%'
    </select>

 <!-- 模糊查询,正确写法 -->

<select id="findUserLikeName" resultType="com.example.mybaits.entity.User">
        SELECT * FROM tbuser where userName like concat('%',#{username}, '%')
    </select>

order by列名参数化

复制代码
<!--动态指定列名排序,有注入漏洞-->

<select id="allUserSeq" resultType="com.example.mybaits.entity.User">
    SELECT *FROM tbuser order by ${colName}
</select>

基于MyBatis并不能很好解决这种注入漏洞

相关推荐
麦兜*38 分钟前
Spring Boot 企业级动态权限全栈深度解决方案,设计思路,代码分析
java·spring boot·后端·spring·spring cloud·性能优化·springcloud
ruan1145142 小时前
MySQL4种隔离级别
java·开发语言·mysql
网安小白的进阶之路5 小时前
A模块 系统与网络安全 第四门课 弹性交换网络-2
网络·安全·web安全·系统安全·交换机
安全系统学习5 小时前
网络安全之RCE分析与利用详情
服务器·网络·安全·web安全·系统安全
武汉唯众智创5 小时前
网络安全实训室建设方案全攻略
网络·安全·web安全·网络安全·网络安全实训室·网络安全实验室
weixin_472339465 小时前
网络安全攻防:文件上传漏洞的深度解析与防御实践
安全·web安全
雪兽软件5 小时前
2025 年网络安全与人工智能发展趋势
人工智能·安全·web安全
Hellyc6 小时前
基于模板设计模式开发优惠券推送功能以及对过期优惠卷进行定时清理
java·数据库·设计模式·rocketmq
lifallen6 小时前
Paimon LSM Tree Compaction 策略
java·大数据·数据结构·数据库·算法·lsm-tree
小黄人20256 小时前
自动驾驶安全技术的演进与NVIDIA的创新实践
人工智能·安全·自动驾驶