MyBatis的注入问题

对之前文章的补充:MyBatis中的#{}与${}注入问题----原文链接

前言:

MyBatis是一个流行的Java持久层框架,用于将对象与数据库中的数据进行映射。然而,如果不当使用,MyBatis也可能受到诸如SQL注入这类的安全问题的影响。

SQL注入是一种攻击技术,攻击者通过在输入中插入恶意SQL语句片段,企图对数据库执行非预期的操作。在MyBatis中,SQL注入通常发生在以下几个场景:

动态SQL: MyBatis允许你编写动态SQL,根据不同的条件拼接不同的SQL语句。如果你直接将用户的输入作为条件拼接到SQL语句中,而没有进行适当的转义或验证,就可能导致SQL注入。

接着上面文章,发现一般在实际情况 中会存在以下几个方面的注入情况:

Mybatis Like 注入

这里如果是正常的查询请求,会返回正常的查询结果,然而在使用了恶意的注入语句,就可以直接查看到注入的结果,存在注入漏洞

通过在这里直接搜索相关的注入写法

就能发现如下的查询语句:

这就存在SQL注入漏洞了,所以需要规范代码写法:
Select * from users where username like concat('%',#{username}, '%')

Mybatis Order By 注入

直接查看源代码中的写法

Order By 注入也是一样,在正常的查询中,添加恶意的代码,就能直接造成代码的注入,这里报错回显


Mybatis In 注入

in之后多个id查询时使用 # 同样会报错,因此很多研发会采用${}来解决,从而造成SQL注入,

直接使用poc:1,2,3) and (updatexml(1,concat(0x7e,(select user())),0))-- -


这里主要是对之前学习的补充,完善整个注入的内容,感谢大佬指点交流

相关推荐
qq_508823402 小时前
金融数据库--3Baostock
数据库·金融
悦数图数据库3 小时前
图技术重塑金融未来:悦数图数据库如何驱动行业创新与风控变革
数据库·金融
九河云3 小时前
华为云 GaussDB:金融级高可用数据库,为核心业务保驾护航
网络·数据库·科技·金融·华为云·gaussdb
老华带你飞3 小时前
租房平台|租房管理平台小程序系统|基于java的租房系统 设计与实现(源码+数据库+文档)
java·数据库·小程序·vue·论文·毕设·租房系统管理平台
ouou06175 小时前
企业级NoSql数据库Redis集群
数据库·redis·nosql
F_D_Z5 小时前
【SQL】指定日期的产品价格
数据库·sql·mysql
axban6 小时前
QT M/V架构开发实战:QStringListModel介绍
开发语言·数据库·qt
Blossom.1186 小时前
从“能写”到“能干活”:大模型工具调用(Function-Calling)的工程化落地指南
数据库·人工智能·python·深度学习·机器学习·计算机视觉·oracle
麦聪聊数据6 小时前
如何使用 QuickAPI 快速连接 MySQL 数据库并发布 RESTful API
数据库·sql·mysql·restful·数据服务