防SQL注入的要點

2011/6/2 9:51:26 出處：本站人氣：20次字號：小中大

騎自行車的正確

在校大學生該如

微信朋友圈怎么

每日一囧

所謂SQL注入，就是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務器執行惡意的SQL命令，比如先前的很多影視網站泄露VIP會員密碼大多就是通過WEB表單遞交查詢字符暴出的，這類表單特別容易受到SQL注入式攻擊．下面給大家分享教你如何防止SQL注入攻擊的，希望對大家有幫助。

防SQL 注入是一個系統工程,在項目開發中就要系統的考慮SQL 注入的問題。一般做到以下4點，能比較好的控制SQL 注入：

嚴格驗證用戶的一切輸入，包括URL參數。
將用戶登錄名稱、密碼等數據加密保存
不要用拼接字符串的方式來生成SQL語句，而是用SQL Parameters 傳參數或者用存儲過程來查詢
嚴格驗證上傳文件的后綴，exe、aspx、asp等可執行程序禁止上傳。

這里介紹一個簡單通用的方法，用來驗證字符串中是否有敏感字符，參數可以是一個字符串，也可以是一個字符串集合，敏感字符可以在Lawlesses數組中定義：

public static string[] Lawlesses = { "=", "'" };
/// <summary>
/// 敏感字符檢測
/// </summary>
/// <param name="args"></param>
/// <returns></returns>
public static bool CheckParams(params object[] args)
{
if (Lawlesses == null || Lawlesses.Length <= 0) return true;
//構造正則表達式,例:Lawlesses是=號和'號,則正則表達式為 .*[=}'].*
//另外,由于我是想做通用而且容易修改的函數,所以多了一步由字符數組到正則表達式,實際使用中,直接寫正則表達式亦可;
string str_Regex = ".*[";
for (int i = 0; i < Lawlesses.Length - 1; i++)
{
str_Regex += Lawlesses[i] + "|";
}
str_Regex += Lawlesses[Lawlesses.Length - 1] + "].*";
//
foreach (object arg in args)
{
if (arg is string)//如果是字符串,直接檢查
{
if (Regex.Matches(arg.ToString(), str_Regex).Count > 0)
return false;
}
else if (arg is ICollection)//如果是一個集合,則檢查集合內元素是否字符串,是字符串,就進行檢查
{
foreach (object obj in (ICollection)arg)
{
if (obj is string)
{
if (Regex.Matches(obj.ToString(), str_Regex).Count > 0)
return false;
}
}
}
}
return true;
}

熱門評論

文章推薦

相關資訊

本類常用軟件

防SQL注入的要點