SQL注入攻击与防护

20XX/XX/XXSQL注入攻击与防护汇报人:XXXCONTENTS目录01

课程导入与基础概念02

SQL注入攻击的原理03

SQL注入典型攻击案例04

SQL注入主流防护技术05

SQL注入检测实践方法06

课程总结课程导入与基础概念01基于输入篡改的注入行为指攻击者通过篡改用户输入的SQL语句片段，插入恶意代码，绕过系统验证的攻击方式。利用数据库漏洞的攻击模式是攻击者借助数据库对SQL语句的解析漏洞，非法获取或篡改数据库中敏感数据的网络攻击。针对Web应用的典型攻击类型作为常见的Web应用攻击手段，如曾导致某电商平台用户信息泄露，危害系统数据安全。SQL注入的定义SQL注入的危害窃取核心数据信息2019年万豪酒店遭SQL注入攻击，5000万客人的姓名、联系方式等核心数据被窃取。破坏数据库完整性攻击者可通过SQL注入删除、篡改数据库内的数据，如2021年某电商平台订单数据遭恶意篡改。获取服务器控制权成功注入后攻击者可提权获取服务器控制权，如2020年某政务网站因SQL注入被非法操控。SQL注入攻击的原理02攻击的形成原因未对用户输入做有效过滤部分网站直接将用户输入拼接进SQL语句，如某电商网站未过滤搜索框输入，引发注入风险。数据库权限配置过度开放部分企业给应用程序分配过高数据库权限，一旦被注入，攻击者可直接篡改核心数据。开发人员安全意识缺失不少新手开发忽略输入校验，如某论坛因开发者未限制留言内容格式，遭SQL注入攻击。URL参数注入点攻击者可在GET请求的URL参数中插入恶意SQL语句，如电商商品详情页的id参数易成为攻击入口。POST表单字段注入点用户提交表单时，攻击者在账号、密码等POST字段中嵌入SQL代码，常见于登录、注册页面。HTTP头部信息注入点攻击者通过篡改Cookie、Referer等HTTP头部字段，向后台注入恶意SQL，绕过常规参数校验。HTTP请求注入点SQL语法拼接逻辑

用户输入与SQL语句的直接拼接部分网站将用户输入直接拼入SQL语句，如输入'OR'1'='1可篡改查询逻辑，绕过身份验证。

动态SQL语句的字符串拼接漏洞动态生成SQL时未做处理，若用户输入含特殊字符，会破坏原有语句结构引发注入。

多语句拼接的执行风险部分数据库支持多语句执行，攻击者可拼接DROP等恶意语句，直接破坏数据库数据。常见注入类型划分

基于数据类型的字符型注入这类注入针对字符型参数，攻击者会通过闭合引号，如输入'OR'1'='1，绕过验证窃取数据。

基于执行方式的盲注盲注无直接返回结果，攻击者像布尔盲注那样，用AND1=1这类语句猜解数据库信息。

基于提交方式的POST注入攻击者在POST请求的表单参数中插入恶意SQL语句，比如在登录表单密码栏输入'OR1=1--。SQL注入典型攻击案例03后台登录页万能密码破解攻击者利用'OR'1'='1这类构造语句，绕过某电商平台后台登录验证，非法获取系统权限。论坛登录绕过攻击某知名论坛存在登录验证漏洞，攻击者输入'OR'a'='a'万能密码，直接登录他人账号窃取信息。政务系统登录权限窃取部分政务系统登录校验不严，攻击者用万能密码成功登录，获取内部敏感数据造成信息泄露。万能密码登录案例数据库脱库案例

某电商平台用户信息脱库案2019年某电商平台遭SQL注入攻击，超百万用户的手机号、地址等隐私数据被非法窃取。

某高校教务系统数据脱库案2022年某高校教务系统因SQL注入漏洞，数千名学生的成绩、学籍信息被攻击者批量导出。权限提升攻击案例

某电商平台管理员权限窃取案攻击者通过SQL注入获取普通用户权限，篡改数据库字段提升为管理员，窃取大量用户隐私数据。

某政务系统超权限操作案黑客利用SQL注入漏洞绕过权限校验，以低权限账号执行高权限操作，篡改政务公示信息。

某金融后台越权访问案攻击者借助SQL注入修改用户权限标识，非法访问金融后台核心模块，转移账户内资金。某电商平台SQL注入Getshell事件攻击者利用商品查询SQL漏洞注入恶意代码，获取服务器权限，篡改商品数据并窃取用户隐私信息。某政务系统SQL注入沦陷案例黑客通过登录页SQL注入上传木马，成功Getshell，非法获取大量未公开的政务敏感数据。服务器Getshell案例SQL注入主流防护技术04输入验证与过滤

基于数据类型的强校验针对用户输入设定严格数据类型规则，如手机号仅允许数字输入，像支付宝登录界面的手机号校验。

特殊字符黑名单过滤建立特殊字符黑名单，过滤掉单引号、分号等SQL注入常用字符，多数银行网银系统均采用此方法。

白名单模式输入验证仅允许符合预设白名单的内容输入，如邮箱仅允许包含指定字符，谷歌账号注册界面应用了该逻辑。预编译语句应用Java语言预编译语句实现在Java中通过PreparedStatement对象编写预编译SQL，如电商系统登录校验，有效阻断拼接式注入。Python语言预编译语句实践Python借助pymysql的execute()传参实现预编译，像用户信息查询场景，避免恶意SQL拼接。预编译语句的数据库适配配置针对MySQL、Oracle等数据库开启预编译支持，如企业ERP系统，强化底层注入防护能力。存储过程使用方案参数化存储过程设计采用参数化格式编写存储过程，如MySQL中使用PREPARE语句，避免直接拼接用户输入引发注入。存储过程权限严格管控仅授予存储过程必要的数据库操作权限，如限制其仅能执行查询，禁止修改核心数据表。存储过程定期审计更新定期排查存储过程中的潜在漏洞，像修复未过滤特殊字符的老旧存储过程，更新防护逻辑。Web应用防火墙配置

规则库自定义配置针对常见SQL注入特征，自定义拦截规则，如拦截包含UNION、SELECT等关键字的恶意请求。

流量异常监控配置设置流量阈值，监控高频异常访问，如某IP短时间内多次提交带注入特征的请求并自动拦截。

动态防护策略配置开启智能学习模式，让WAF自动识别新出现的SQL注入变种攻击，实时更新防护规则。最小权限原则配置

数据库账号权限细分为不同业务场景分配专属数据库账号，如仅给查询类账号授予SELECT权限，避免过度授权。

应用程序权限严格管控限制应用程序数据库账号权限，例如电商订单系统仅拥有订单表的读写权限，无删除权限。

临时权限动态回收给运维人员分配临时操作权限，完成数据库维护后立即回收，防止权限滥用引发风险。SQL注入检测实践方法05手动检测流程参数值替换测试

将参数值替换为单引号、特殊字符等，观察页面返回报错信息，判断是否存在注入点。联合查询测试

构造UNIONSELECT语句，尝试获取数据库版本、表名等信息，验证注入可行性。报错信息分析

分析页面返回的数据库报错内容，精准定位注入漏洞的类型和可利用程度。静态代码扫描工具检测SonarQube等工具可扫描代码中的SQL拼接风险，提前发现潜在注入漏洞，无需运行程序。动态漏洞扫描工具检测AppScan等工具模拟攻击场景，发送恶意SQL语句，检测系统是否存在注入漏洞。开源专项工具检测SQLMap工具可自动识别注入点、判断数据库类型，精准检测并验证SQL注入漏洞。自动化工具检测课程总结06核心内容梳理

SQL注入攻击的典型类型常见类型有联合查询注入、报