踩坑的 SQL 注入根源)
MyBatis #{} 和 ${}很多開發(fā)踩坑的 SQL 注入根源摘要MyBatis 是 Java 項(xiàng)目中最常用的持久層框架很多開發(fā)同學(xué)誤以為只要使用 MyBatis 就天然免疫 SQL 注入。但在大量代碼審計(jì)和 SRC 漏洞挖掘中發(fā)現(xiàn)絕大多數(shù) Java 業(yè)務(wù)系統(tǒng)的 SQL 注入漏洞根源就是混淆了#{}和${}。#{}使用預(yù)編譯安全${}直接字符串拼接極易產(chǎn)生注入。本文從底層原理、代碼示例、實(shí)戰(zhàn)漏洞場(chǎng)景、修復(fù)方式、代碼審計(jì)要點(diǎn)一次性講清楚幫助開發(fā)避開坑同時(shí)給白帽提供審計(jì)思路。本文內(nèi)容僅用于代碼審計(jì)、授權(quán)安全測(cè)試學(xué)習(xí)禁止用于未授權(quán)系統(tǒng)滲透。免責(zé)聲明本文技術(shù)內(nèi)容僅用于網(wǎng)絡(luò)安全學(xué)習(xí)、代碼審計(jì)、授權(quán)范圍內(nèi)安全評(píng)估。未經(jīng)目標(biāo)系統(tǒng)所有者書面許可禁止對(duì)任何系統(tǒng)進(jìn)行探測(cè)、滲透測(cè)試。違規(guī)操作帶來(lái)的全部法律責(zé)任由操作者自行承擔(dān)。0x00 前言做代碼審計(jì)的時(shí)候經(jīng)?？吹竭@樣的場(chǎng)景開發(fā)“我們項(xiàng)目用 MyBatis不會(huì)有 SQL 注入?！贝蜷_ Mapper 文件一眼就看到select * from order where orderId ${orderId}一個(gè)${}直接把整個(gè)防護(hù)廢掉SQL 注入直接誕生。很多初級(jí)開發(fā)分不清兩者差異只知道#{}是傳參${}也拿來(lái)接收前端可控參數(shù)。一句話核心結(jié)論?#{}預(yù)編譯、參數(shù)綁定防止 SQL 注入?${}直接字符串替換拼接存在 SQL 注入風(fēng)險(xiǎn)0x01 底層原理拆解1.1 #{} 的執(zhí)行原理#{}是 MyBatis 的參數(shù)占位符底層使用 JDBCPreparedStatement預(yù)編譯機(jī)制。MyBatis 會(huì)把 SQL 模板提前發(fā)給數(shù)據(jù)庫(kù)SQL 結(jié)構(gòu)固定不變#{}對(duì)應(yīng)的位置變成?占位符。用戶傳入的參數(shù)只會(huì)作為參數(shù)值綁定進(jìn)去不會(huì)參與 SQL 語(yǔ)法解析。示例 Mapperselect idgetOrderById resultTypeOrder select id,order_no,status from t_order where order_id #{orderId} /select底層生成的 SQL 模板select id,order_no,status from t_order where order_id ?前端傳入?yún)?shù)1 or 11這個(gè)完整字符串只會(huì)被當(dāng)成一個(gè)值不會(huì)破壞原有 SQL 語(yǔ)法數(shù)據(jù)庫(kù)只會(huì)去匹配order_id等于字符串1 or 11這條記錄不會(huì)執(zhí)行注入邏輯。就算傳入單引號(hào)數(shù)據(jù)庫(kù)只會(huì)當(dāng)成普通字符串內(nèi)容不會(huì)閉合 SQL 語(yǔ)句天然防御 SQL 注入。1.2 ${} 的執(zhí)行原理${}是字符串直接替換。MyBatis 不會(huì)做預(yù)編譯只是簡(jiǎn)單把變量的值原封不動(dòng)替換到 SQL 語(yǔ)句中再把完整拼接后的 SQL 交給數(shù)據(jù)庫(kù)執(zhí)行。Mapper 示例select idgetOrderById resultTypeOrder select id,order_no,status from t_order where order_id ${orderId} /select前端傳入?yún)?shù)1 or 11替換之后最終交給數(shù)據(jù)庫(kù)執(zhí)行的 SQL 變成select id,order_no,status from t_order where order_id 1 or 11SQL 語(yǔ)法直接被破壞注入語(yǔ)句成功執(zhí)行這就是 SQL 注入。關(guān)鍵點(diǎn)({} 不會(huì)做任何轉(zhuǎn)義輸入什么就拼什么。只要){} 接收的參數(shù)是前端可控就存在注入風(fēng)險(xiǎn)。0x02 什么時(shí)候才允許使用 ${}很多人看完直接把所有${}全部刪掉但${}并不是完全不能用。${} 適用場(chǎng)景傳入的內(nèi)容是開發(fā)可控的固定值不是用戶前端輸入。常見合法場(chǎng)景動(dòng)態(tài)排序動(dòng)態(tài)傳入排序字段、排序方向order by 后的字段名order by ${sortField} ${sortOrder}這里不能用#{}因?yàn)?order by 后面不能使用占位符數(shù)據(jù)庫(kù)不支持。??風(fēng)險(xiǎn)如果 sortField、sortOrder 參數(shù)來(lái)自前端用戶可控輸入就會(huì)產(chǎn)生注入。正確做法后端做白名單校驗(yàn)只允許預(yù)設(shè)的字段不在白名單直接拒絕。動(dòng)態(tài)表名業(yè)務(wù)需要切換不同分表select * from ${tableName} where id#{id}tableName 必須后端代碼白名單校驗(yàn)不允許直接接收前端傳入值。一句話總結(jié)${} 只用來(lái)拼接 SQL 語(yǔ)法結(jié)構(gòu)表名、排序字段絕對(duì)不能用來(lái)接收查詢條件的值。0x03 實(shí)戰(zhàn)漏洞案例SRC 中遇到的 ${} 注入漏洞漏洞場(chǎng)景業(yè)務(wù)接口前端傳入 orderId 參數(shù)后端 Mapper 直接使用 ${orderId} 拼接查詢。Mapper 代碼select idgetOrderInfo resultTypeOrder select order_no,create_time from t_order where order_id ${orderId} /select接口直接接收用戶傳入 orderId沒有任何校驗(yàn)。PayloadorderId1 union select 1,version()--經(jīng)過 MyBatis 替換后 SQLselect order_no,create_time from t_order where order_id 1 union select 1,version()--直接觸發(fā)聯(lián)合查詢注入。雖然項(xiàng)目使用 MyBatis但是${}直接造成高危 SQL 注入。很多開發(fā)以為 MyBatis 自帶防護(hù)忽略了 ${} 的字符串拼接這是 Java 項(xiàng)目里最常見的注入根源。0x04 容易踩坑的幾個(gè)誤區(qū)誤區(qū) 1${} 會(huì)自動(dòng)轉(zhuǎn)義單引號(hào)? 錯(cuò)誤。${}不會(huì)做任何轉(zhuǎn)義原樣替換。#{}才會(huì)在預(yù)編譯階段處理特殊字符。誤區(qū) 2MyBatis 項(xiàng)目就一定不會(huì) SQL 注入? 錯(cuò)誤。MyBatis 只是框架安全取決于寫法。只要代碼使用${}接收用戶可控參數(shù)就會(huì)存在注入風(fēng)險(xiǎn)。誤區(qū) 3加了 WAF就算用 ${} 也沒事? 錯(cuò)誤。WAF 只是外層防護(hù)可以被繞過。代碼層面的拼接漏洞才是根源WAF 一旦被突破漏洞直接利用。誤區(qū) 4使用 ${} 的時(shí)候前端傳數(shù)字就安全? 錯(cuò)誤。就算業(yè)務(wù)參數(shù)預(yù)期是數(shù)字攻擊者抓包修改參數(shù)傳入帶單引號(hào)的字符串依然觸發(fā)注入。不要依靠業(yè)務(wù)預(yù)期的參數(shù)類型來(lái)防護(hù)。0x05 ${} 場(chǎng)景的安全處理方案動(dòng)態(tài)排序 / 動(dòng)態(tài)表名當(dāng)業(yè)務(wù)確實(shí)必須使用${}order by、動(dòng)態(tài)表名不能直接接收前端參數(shù)必須后端做白名單校驗(yàn)。Java 偽代碼示例動(dòng)態(tài)排序參數(shù)校驗(yàn)// 白名單只允許預(yù)設(shè)的字段 ListString allowField Arrays.asList(id,create_time,order_no); if(!allowField.contains(sortField)){ // 不在白名單直接拋出異常拒絕查詢 throw new Exception(非法排序字段); }禁止直接把前端傳來(lái)的 sortField 直接丟進(jìn) Mapper 的 ${sortField}。禁止使用黑名單過濾黑名單可以被各種方式繞過白名單才可靠。0x06 代碼審計(jì)快速排查技巧白帽審計(jì) Mapper 文件快速定位 MyBatis 注入風(fēng)險(xiǎn)點(diǎn)審計(jì) Mapper xml 文件搜索${找出所有${}變量向上追溯參數(shù)來(lái)源判斷變量是否可以由前端用戶控制如果前端可控并且沒有后端白名單校驗(yàn) → 判定存在 SQL 注入風(fēng)險(xiǎn)如果變量是后端硬編碼、固定枚舉值則風(fēng)險(xiǎn)較低。審計(jì)優(yōu)先級(jí)${用戶可控參數(shù)}→ 高危#{任意參數(shù)}→ 無(wú)注入風(fēng)險(xiǎn)小提示很多項(xiàng)目使用 MyBatis-PlusMP 同樣遵循這個(gè)邏輯自定義 XML 里寫的 ${} 依舊存在注入。0x07 漏洞修復(fù)方案優(yōu)先替換 ${} 為 #{}查詢條件全部使用預(yù)編譯占位符從根源解決注入業(yè)務(wù)場(chǎng)景必須保留${}動(dòng)態(tài)表名、排序字段后端增加嚴(yán)格白名單校驗(yàn)非法參數(shù)直接攔截不進(jìn)入 SQL 查詢輸入校驗(yàn)對(duì)業(yè)務(wù)參數(shù)增加格式校驗(yàn)例如訂單號(hào)只能是數(shù)字?jǐn)?shù)據(jù)庫(kù)賬號(hào)最小權(quán)限限制業(yè)務(wù)賬號(hào)訪問 information_schema代碼審計(jì)掃描項(xiàng)目中所有${}梳理參數(shù)來(lái)源上線前安全測(cè)試重點(diǎn)測(cè)試使用 ${} 的接口。0x08 總結(jié)#{}底層預(yù)編譯參數(shù)綁定防止 SQL 注入查詢條件優(yōu)先使用${}直接字符串替換拼接 SQL用戶可控參數(shù)傳入 ${} 就極易產(chǎn)生注入${}不是不能用僅適用于拼接表名、排序字段這類 SQL 結(jié)構(gòu)且必須后端白名單校驗(yàn)不能直接接收前端輸入使用 MyBatis 不等于免疫 SQL 注入框架不兜底代碼寫法決定安全代碼審計(jì)時(shí)檢索${快速定位風(fēng)險(xiǎn)點(diǎn)是 Java Web 挖 SQL 注入的經(jīng)典思路。最后關(guān)于網(wǎng)絡(luò)安全技術(shù)儲(chǔ)備學(xué)好網(wǎng)絡(luò)安全不論是就業(yè)還是做副業(yè)賺錢都不錯(cuò)但要學(xué)會(huì)網(wǎng)絡(luò)安全還是要有一個(gè)學(xué)習(xí)規(guī)劃。最后大家分享一份全套的網(wǎng)絡(luò)安全學(xué)習(xí)資料給那些想學(xué)習(xí)網(wǎng)絡(luò)安全的小伙伴們一點(diǎn)幫助對(duì)于0基礎(chǔ)小白入門如果你是零基礎(chǔ)小白想快速入門網(wǎng)絡(luò)安全是可以考慮的。一方面是學(xué)習(xí)時(shí)間相對(duì)較短學(xué)習(xí)內(nèi)容更全面更集中。二方面是可以找到適合自己的學(xué)習(xí)方案包括網(wǎng)安成長(zhǎng)學(xué)習(xí)路線圖、SRC黑客文檔、護(hù)網(wǎng)行動(dòng)、黑客必讀書單、面試題、學(xué)習(xí)視頻等教程。帶你從零基礎(chǔ)系統(tǒng)性的學(xué)好網(wǎng)絡(luò)安全需要的可以微信掃描下方CSDN官方認(rèn)證二維碼免費(fèi)領(lǐng)取【保證100%免費(fèi)】1.成長(zhǎng)路線圖學(xué)習(xí)規(guī)劃要學(xué)習(xí)一門新的技術(shù)作為新手一定要先學(xué)習(xí)成長(zhǎng)路線圖方向不對(duì)努力白費(fèi)。對(duì)于從來(lái)沒有接觸過網(wǎng)絡(luò)安全的同學(xué)我們幫你準(zhǔn)備了詳細(xì)的學(xué)習(xí)成長(zhǎng)路線圖學(xué)習(xí)規(guī)劃?？梢哉f是最科學(xué)最系統(tǒng)的學(xué)習(xí)路線大家跟著這個(gè)大的方向?qū)W習(xí)準(zhǔn)沒問題。2.網(wǎng)安入門到進(jìn)階視頻教程很多朋友都不喜歡晦澀的文字我也為大家準(zhǔn)備了視頻教程其中一共有21個(gè)章節(jié)每個(gè)章節(jié)都是當(dāng)前板塊的精華濃縮。全套教程文末領(lǐng)取哈3.SRC黑客文檔大家最喜歡也是最關(guān)心的SRC技術(shù)文籍黑客技術(shù)也有收錄SRC技術(shù)文籍黑客資料由于是敏感資源這里不能直接展示哦全套教程文末領(lǐng)取哈4.護(hù)網(wǎng)行動(dòng)資料其中關(guān)于HW護(hù)網(wǎng)行動(dòng)也準(zhǔn)備了對(duì)應(yīng)的資料這些內(nèi)容可相當(dāng)于比賽的金手指5.黑客必讀書單隨著互聯(lián)網(wǎng)技術(shù)的飛速發(fā)展網(wǎng)絡(luò)安全已經(jīng)成為了當(dāng)今科技領(lǐng)域的一大熱點(diǎn)。這些SQL注入、CCNA、Web滲透、Linux服務(wù)器等以其強(qiáng)大的語(yǔ)言理解和防御能力正在守護(hù)著我們網(wǎng)絡(luò)世界。 那以下這些PDF籍就是非常不錯(cuò)的學(xué)習(xí)資源。6.網(wǎng)絡(luò)安全崗面試題合集當(dāng)你自學(xué)到這里你就要開始思考找工作的事情了而工作繞不開的就是真題和面試題。這份完整版的網(wǎng)絡(luò)安全學(xué)習(xí)資料已經(jīng)上傳CSDN朋友們?nèi)绻枰梢晕⑿艗呙柘路紺SDN官方認(rèn)證二維碼免費(fèi)領(lǐng)取【保證100%免費(fèi)】 MyBatis #{} 和 ${}，很多開發(fā)踩坑的 SQL 注入根源
MyBatis #{} 和 ${}很多開發(fā)踩坑的 SQL 注入根源摘要MyBatis 是 Java 項(xiàng)目中最常用的持久層框架很多開發(fā)同學(xué)誤以為只要使用 MyBatis 就天然免疫 SQL 注入。但在大量代碼審計(jì)和 SRC 漏洞挖掘中發(fā)現(xiàn)絕大多數(shù) Java 業(yè)務(wù)系統(tǒng)的 SQL 注入漏洞根源就是混淆了#{}和${}。#{}使用預(yù)編譯安全${}直接字符串拼接極易產(chǎn)生注入。本文從底層原理、代碼示例、實(shí)戰(zhàn)漏洞場(chǎng)景、修復(fù)方式、代碼審計(jì)要點(diǎn)一次性講清楚幫助開發(fā)避開坑同時(shí)給白帽提供審計(jì)思路。本文內(nèi)容僅用于代碼審計(jì)、授權(quán)安全測(cè)試學(xué)習(xí)禁止用于未授權(quán)系統(tǒng)滲透。免責(zé)聲明本文技術(shù)內(nèi)容僅用于網(wǎng)絡(luò)安全學(xué)習(xí)、代碼審計(jì)、授權(quán)范圍內(nèi)安全評(píng)估。未經(jīng)目標(biāo)系統(tǒng)所有者書面許可禁止對(duì)任何系統(tǒng)進(jìn)行探測(cè)、滲透測(cè)試。違規(guī)操作帶來(lái)的全部法律責(zé)任由操作者自行承擔(dān)。0x00 前言做代碼審計(jì)的時(shí)候經(jīng)?？吹竭@樣的場(chǎng)景開發(fā)“我們項(xiàng)目用 MyBatis不會(huì)有 SQL 注入?！贝蜷_ Mapper 文件一眼就看到select * from order where orderId ${orderId}一個(gè)${}直接把整個(gè)防護(hù)廢掉SQL 注入直接誕生。很多初級(jí)開發(fā)分不清兩者差異只知道#{}是傳參${}也拿來(lái)接收前端可控參數(shù)。一句話核心結(jié)論?#{}預(yù)編譯、參數(shù)綁定防止 SQL 注入?${}直接字符串替換拼接存在 SQL 注入風(fēng)險(xiǎn)0x01 底層原理拆解1.1 #{} 的執(zhí)行原理#{}是 MyBatis 的參數(shù)占位符底層使用 JDBCPreparedStatement預(yù)編譯機(jī)制。MyBatis 會(huì)把 SQL 模板提前發(fā)給數(shù)據(jù)庫(kù)SQL 結(jié)構(gòu)固定不變#{}對(duì)應(yīng)的位置變成?占位符。用戶傳入的參數(shù)只會(huì)作為參數(shù)值綁定進(jìn)去不會(huì)參與 SQL 語(yǔ)法解析。示例 Mapperselect idgetOrderById resultTypeOrder select id,order_no,status from t_order where order_id #{orderId} /select底層生成的 SQL 模板select id,order_no,status from t_order where order_id ?前端傳入?yún)?shù)1 or 11這個(gè)完整字符串只會(huì)被當(dāng)成一個(gè)值不會(huì)破壞原有 SQL 語(yǔ)法數(shù)據(jù)庫(kù)只會(huì)去匹配order_id等于字符串1 or 11這條記錄不會(huì)執(zhí)行注入邏輯。就算傳入單引號(hào)數(shù)據(jù)庫(kù)只會(huì)當(dāng)成普通字符串內(nèi)容不會(huì)閉合 SQL 語(yǔ)句天然防御 SQL 注入。1.2 ${} 的執(zhí)行原理${}是字符串直接替換。MyBatis 不會(huì)做預(yù)編譯只是簡(jiǎn)單把變量的值原封不動(dòng)替換到 SQL 語(yǔ)句中再把完整拼接后的 SQL 交給數(shù)據(jù)庫(kù)執(zhí)行。Mapper 示例select idgetOrderById resultTypeOrder select id,order_no,status from t_order where order_id ${orderId} /select前端傳入?yún)?shù)1 or 11替換之后最終交給數(shù)據(jù)庫(kù)執(zhí)行的 SQL 變成select id,order_no,status from t_order where order_id 1 or 11SQL 語(yǔ)法直接被破壞注入語(yǔ)句成功執(zhí)行這就是 SQL 注入。關(guān)鍵點(diǎn)({} 不會(huì)做任何轉(zhuǎn)義輸入什么就拼什么。只要){} 接收的參數(shù)是前端可控就存在注入風(fēng)險(xiǎn)。0x02 什么時(shí)候才允許使用 ${}很多人看完直接把所有${}全部刪掉但${}并不是完全不能用。${} 適用場(chǎng)景傳入的內(nèi)容是開發(fā)可控的固定值不是用戶前端輸入。常見合法場(chǎng)景動(dòng)態(tài)排序動(dòng)態(tài)傳入排序字段、排序方向order by 后的字段名order by ${sortField} ${sortOrder}這里不能用#{}因?yàn)?order by 后面不能使用占位符數(shù)據(jù)庫(kù)不支持。??風(fēng)險(xiǎn)如果 sortField、sortOrder 參數(shù)來(lái)自前端用戶可控輸入就會(huì)產(chǎn)生注入。正確做法后端做白名單校驗(yàn)只允許預(yù)設(shè)的字段不在白名單直接拒絕。動(dòng)態(tài)表名業(yè)務(wù)需要切換不同分表select * from ${tableName} where id#{id}tableName 必須后端代碼白名單校驗(yàn)不允許直接接收前端傳入值。一句話總結(jié)${} 只用來(lái)拼接 SQL 語(yǔ)法結(jié)構(gòu)表名、排序字段絕對(duì)不能用來(lái)接收查詢條件的值。0x03 實(shí)戰(zhàn)漏洞案例SRC 中遇到的 ${} 注入漏洞漏洞場(chǎng)景業(yè)務(wù)接口前端傳入 orderId 參數(shù)后端 Mapper 直接使用 ${orderId} 拼接查詢。Mapper 代碼select idgetOrderInfo resultTypeOrder select order_no,create_time from t_order where order_id ${orderId} /select接口直接接收用戶傳入 orderId沒有任何校驗(yàn)。PayloadorderId1 union select 1,version()--經(jīng)過 MyBatis 替換后 SQLselect order_no,create_time from t_order where order_id 1 union select 1,version()--直接觸發(fā)聯(lián)合查詢注入。雖然項(xiàng)目使用 MyBatis但是${}直接造成高危 SQL 注入。很多開發(fā)以為 MyBatis 自帶防護(hù)忽略了 ${} 的字符串拼接這是 Java 項(xiàng)目里最常見的注入根源。0x04 容易踩坑的幾個(gè)誤區(qū)誤區(qū) 1${} 會(huì)自動(dòng)轉(zhuǎn)義單引號(hào)? 錯(cuò)誤。${}不會(huì)做任何轉(zhuǎn)義原樣替換。#{}才會(huì)在預(yù)編譯階段處理特殊字符。誤區(qū) 2MyBatis 項(xiàng)目就一定不會(huì) SQL 注入? 錯(cuò)誤。MyBatis 只是框架安全取決于寫法。只要代碼使用${}接收用戶可控參數(shù)就會(huì)存在注入風(fēng)險(xiǎn)。誤區(qū) 3加了 WAF就算用 ${} 也沒事? 錯(cuò)誤。WAF 只是外層防護(hù)可以被繞過。代碼層面的拼接漏洞才是根源WAF 一旦被突破漏洞直接利用。誤區(qū) 4使用 ${} 的時(shí)候前端傳數(shù)字就安全? 錯(cuò)誤。就算業(yè)務(wù)參數(shù)預(yù)期是數(shù)字攻擊者抓包修改參數(shù)傳入帶單引號(hào)的字符串依然觸發(fā)注入。不要依靠業(yè)務(wù)預(yù)期的參數(shù)類型來(lái)防護(hù)。0x05 ${} 場(chǎng)景的安全處理方案動(dòng)態(tài)排序 / 動(dòng)態(tài)表名當(dāng)業(yè)務(wù)確實(shí)必須使用${}order by、動(dòng)態(tài)表名不能直接接收前端參數(shù)必須后端做白名單校驗(yàn)。Java 偽代碼示例動(dòng)態(tài)排序參數(shù)校驗(yàn)// 白名單只允許預(yù)設(shè)的字段 ListString allowField Arrays.asList(id,create_time,order_no); if(!allowField.contains(sortField)){ // 不在白名單直接拋出異常拒絕查詢 throw new Exception(非法排序字段); }禁止直接把前端傳來(lái)的 sortField 直接丟進(jìn) Mapper 的 ${sortField}。禁止使用黑名單過濾黑名單可以被各種方式繞過白名單才可靠。0x06 代碼審計(jì)快速排查技巧白帽審計(jì) Mapper 文件快速定位 MyBatis 注入風(fēng)險(xiǎn)點(diǎn)審計(jì) Mapper xml 文件搜索${找出所有${}變量向上追溯參數(shù)來(lái)源判斷變量是否可以由前端用戶控制如果前端可控并且沒有后端白名單校驗(yàn) → 判定存在 SQL 注入風(fēng)險(xiǎn)如果變量是后端硬編碼、固定枚舉值則風(fēng)險(xiǎn)較低。審計(jì)優(yōu)先級(jí)${用戶可控參數(shù)}→ 高危#{任意參數(shù)}→ 無(wú)注入風(fēng)險(xiǎn)小提示很多項(xiàng)目使用 MyBatis-PlusMP 同樣遵循這個(gè)邏輯自定義 XML 里寫的 ${} 依舊存在注入。0x07 漏洞修復(fù)方案優(yōu)先替換 ${} 為 #{}查詢條件全部使用預(yù)編譯占位符從根源解決注入業(yè)務(wù)場(chǎng)景必須保留${}動(dòng)態(tài)表名、排序字段后端增加嚴(yán)格白名單校驗(yàn)非法參數(shù)直接攔截不進(jìn)入 SQL 查詢輸入校驗(yàn)對(duì)業(yè)務(wù)參數(shù)增加格式校驗(yàn)例如訂單號(hào)只能是數(shù)字?jǐn)?shù)據(jù)庫(kù)賬號(hào)最小權(quán)限限制業(yè)務(wù)賬號(hào)訪問 information_schema代碼審計(jì)掃描項(xiàng)目中所有${}梳理參數(shù)來(lái)源上線前安全測(cè)試重點(diǎn)測(cè)試使用 ${} 的接口。0x08 總結(jié)#{}底層預(yù)編譯參數(shù)綁定防止 SQL 注入查詢條件優(yōu)先使用${}直接字符串替換拼接 SQL用戶可控參數(shù)傳入 ${} 就極易產(chǎn)生注入${}不是不能用僅適用于拼接表名、排序字段這類 SQL 結(jié)構(gòu)且必須后端白名單校驗(yàn)不能直接接收前端輸入使用 MyBatis 不等于免疫 SQL 注入框架不兜底代碼寫法決定安全代碼審計(jì)時(shí)檢索${快速定位風(fēng)險(xiǎn)點(diǎn)是 Java Web 挖 SQL 注入的經(jīng)典思路。最后關(guān)于網(wǎng)絡(luò)安全技術(shù)儲(chǔ)備學(xué)好網(wǎng)絡(luò)安全不論是就業(yè)還是做副業(yè)賺錢都不錯(cuò)但要學(xué)會(huì)網(wǎng)絡(luò)安全還是要有一個(gè)學(xué)習(xí)規(guī)劃。最后大家分享一份全套的網(wǎng)絡(luò)安全學(xué)習(xí)資料給那些想學(xué)習(xí)網(wǎng)絡(luò)安全的小伙伴們一點(diǎn)幫助對(duì)于0基礎(chǔ)小白入門如果你是零基礎(chǔ)小白想快速入門網(wǎng)絡(luò)安全是可以考慮的。一方面是學(xué)習(xí)時(shí)間相對(duì)較短學(xué)習(xí)內(nèi)容更全面更集中。二方面是可以找到適合自己的學(xué)習(xí)方案包括網(wǎng)安成長(zhǎng)學(xué)習(xí)路線圖、SRC黑客文檔、護(hù)網(wǎng)行動(dòng)、黑客必讀書單、面試題、學(xué)習(xí)視頻等教程。帶你從零基礎(chǔ)系統(tǒng)性的學(xué)好網(wǎng)絡(luò)安全需要的可以微信掃描下方CSDN官方認(rèn)證二維碼免費(fèi)領(lǐng)取【保證100%免費(fèi)】1.成長(zhǎng)路線圖學(xué)習(xí)規(guī)劃要學(xué)習(xí)一門新的技術(shù)作為新手一定要先學(xué)習(xí)成長(zhǎng)路線圖方向不對(duì)努力白費(fèi)。對(duì)于從來(lái)沒有接觸過網(wǎng)絡(luò)安全的同學(xué)我們幫你準(zhǔn)備了詳細(xì)的學(xué)習(xí)成長(zhǎng)路線圖學(xué)習(xí)規(guī)劃?？梢哉f是最科學(xué)最系統(tǒng)的學(xué)習(xí)路線大家跟著這個(gè)大的方向?qū)W習(xí)準(zhǔn)沒問題。2.網(wǎng)安入門到進(jìn)階視頻教程很多朋友都不喜歡晦澀的文字我也為大家準(zhǔn)備了視頻教程其中一共有21個(gè)章節(jié)每個(gè)章節(jié)都是當(dāng)前板塊的精華濃縮。全套教程文末領(lǐng)取哈3.SRC黑客文檔大家最喜歡也是最關(guān)心的SRC技術(shù)文籍黑客技術(shù)也有收錄SRC技術(shù)文籍黑客資料由于是敏感資源這里不能直接展示哦全套教程文末領(lǐng)取哈4.護(hù)網(wǎng)行動(dòng)資料其中關(guān)于HW護(hù)網(wǎng)行動(dòng)也準(zhǔn)備了對(duì)應(yīng)的資料這些內(nèi)容可相當(dāng)于比賽的金手指5.黑客必讀書單隨著互聯(lián)網(wǎng)技術(shù)的飛速發(fā)展網(wǎng)絡(luò)安全已經(jīng)成為了當(dāng)今科技領(lǐng)域的一大熱點(diǎn)。這些SQL注入、CCNA、Web滲透、Linux服務(wù)器等以其強(qiáng)大的語(yǔ)言理解和防御能力正在守護(hù)著我們網(wǎng)絡(luò)世界。 那以下這些PDF籍就是非常不錯(cuò)的學(xué)習(xí)資源。6.網(wǎng)絡(luò)安全崗面試題合集當(dāng)你自學(xué)到這里你就要開始思考找工作的事情了而工作繞不開的就是真題和面試題。這份完整版的網(wǎng)絡(luò)安全學(xué)習(xí)資料已經(jīng)上傳CSDN朋友們?nèi)绻枰梢晕⑿艗呙柘路紺SDN官方認(rèn)證二維碼免費(fèi)領(lǐng)取【保證100%免費(fèi)】