避免SQL注入
什么是SQL注入
SQL注入攻擊（SQL Injection），簡稱注入攻擊，是Web開發中最常見的一種安全漏洞。可以用它來從數據庫獲取敏感信息，或者利用數據庫的特性執行添加用戶，導出文件等一系列惡意操作，甚至有可能獲取數據庫乃至系統用戶最高權限。
而造成SQL注入的原因是因為程序沒有有效過濾用戶的輸入，使攻擊者成功的向服務器提交惡意的SQL查詢代碼，程序在接收后錯誤的將攻擊者的輸入作為查詢語句的一部分執行，導致原始的查詢邏輯被改變，額外的執行了攻擊者精心構造的惡意代碼。
SQL注入實例
很多Web開發者沒有意識到SQL查詢是可以被篡改的，從而把SQL查詢當作可信任的命令。殊不知，SQL查詢是可以繞開訪問控制，從而繞過身份驗證和權限檢查的。更有甚者，有可能通過SQL查詢去運行主機系統級的命令。
下面將通過一些真實的例子來詳細講解SQL注入的方式。
考慮以下簡單的登錄表單：
<form action="/login" method="POST">
<p>Username: <input type="text" name="username" /></p>
<p>Password: <input type="password" name="password" /></p>
<p><input type="submit" value="登陸" /></p>
</form>
我們的處理里面的SQL可能是這樣的：
username:=r.Form.Get("username")
password:=r.Form.Get("password")
sql:="SELECT * FROM user WHERE username='"+username+"' AND password='"+password+"'"
如果用戶的輸入的用戶名如下，密碼任意
myuser' or 'foo' = 'foo' --
那么我們的SQL變成了如下所示：
SELECT * FROM user WHERE username='myuser' or 'foo'=='foo' --'' AND password='xxx'
下面是我測試的(可用), 上面我測試報錯: = 附近有錯誤.
http://localhost:9900/CheckUser?name=admin' or USER_NAME ='admin' --&pwd=1
"SELECT USER_NAME, Pwd FROM [Sys_user] WHERE USER_NAME='admin' or USER_NAME ='admin' -- AND Pwd='6UULGI0WaTiNLCsz9rkhCVIstiVtrX002Z4DBYzyizE="
在SQL里面--是注釋標記，所以查詢語句會在此中斷。這就讓攻擊者在不知道任何合法用戶名和密碼的情況下成功登錄了。
對於MSSQL還有更加危險的一種SQL注入，就是控制系統，下面這個可怕的例子將演示如何在某些版本的MSSQL數據庫上執行系統命令。
sql:="SELECT * FROM products WHERE name LIKE '%"+prod+"%'"
Db.Exec(sql)
如果攻擊提交a%' exec master..xp_cmdshell 'net user test testpass /ADD' --作為變量 prod的值，那么sql將會變成
sql:="SELECT * FROM products WHERE name LIKE '%a%' exec master..xp_cmdshell 'net user test testpass /ADD'--%'"
MSSQL服務器會執行這條SQL語句，包括它后面那個用於向系統添加新用戶的命令。如果這個程序是以sa運行而 MSSQLSERVER服務又有足夠的權限的話，攻擊者就可以獲得一個系統帳號來訪問主機了。
雖然以上的例子是針對某一特定的數據庫系統的，但是這並不代表不能對其它數據庫系統實施類似的攻擊。針對這種安全漏洞，只要使用不同方法，各種數據庫都有可能遭殃。
如何預防SQL注入
也許你會說攻擊者要知道數據庫結構的信息才能實施SQL注入攻擊。確實如此，但沒人能保證攻擊者一定拿不到這些信息，一旦他們拿到了，數據庫就存在泄露的危險。如果你在用開放源代碼的軟件包來訪問數據庫，比如論壇程序，攻擊者就很容易得到相關的代碼。如果這些代碼設計不良的話，風險就更大了。目前Discuz、phpwind、phpcms等這些流行的開源程序都有被SQL注入攻擊的先例。
這些攻擊總是發生在安全性不高的代碼上。所以，永遠不要信任外界輸入的數據，特別是來自於用戶的數據，包括選擇框、表單隱藏域和 cookie。就如上面的第一個例子那樣，就算是正常的查詢也有可能造成災難。
SQL注入攻擊的危害這么大，那么該如何來防治呢?下面這些建議或許對防治SQL注入有一定的幫助。
- 嚴格限制Web應用的數據庫的操作權限，給此用戶提供僅僅能夠滿足其工作的最低權限，從而最大限度的減少注入攻擊對數據庫的危害。
- 檢查輸入的數據是否具有所期望的數據格式，嚴格限制變量的類型，例如使用regexp包進行一些匹配處理，或者使用strconv包對字符串轉化成其他基本類型的數據進行判斷。
- 對進入數據庫的特殊字符（'"\尖括號&*;等）進行轉義處理，或編碼轉換。Go 的
text/template包里面的HTMLEscapeString函數可以對字符串進行轉義處理。 - 所有的查詢語句建議使用數據庫提供的參數化查詢接口，參數化的語句使用參數而不是將用戶輸入變量嵌入到SQL語句中，即不要直接拼接SQL語句。例如使用
database/sql里面的查詢函數Prepare和Query，或者Exec(query string, args ...interface{})。 - 在應用發布之前建議使用專業的SQL注入檢測工具進行檢測，以及時修補被發現的SQL注入漏洞。網上有很多這方面的開源工具，例如sqlmap、SQLninja等。
- 避免網站打印出SQL錯誤信息，比如類型錯誤、字段不匹配等，把代碼里的SQL語句暴露出來，以防止攻擊者利用這些錯誤信息進行SQL注入。
總結
通過上面的示例我們可以知道，SQL注入是危害相當大的安全漏洞。所以對於我們平常編寫的Web應用，應該對於每一個小細節都要非常重視，細節決定命運，生活如此，編寫Web應用也是這樣。
package SQL_inject import "regexp" // 正則過濾sql注入的方法 // 參數 : 要匹配的語句 func FilteredSQLInject(to_match_str string) bool { //過濾 ‘ //ORACLE 注解 -- /**/ //關鍵字過濾 update ,delete // 正則的字符串, 不能用 " " 因為" "里面的內容會轉義 str := `(?:')|(?:--)|(/\\*(?:.|[\\n\\r])*?\\*/)|(\b(select|update|and|or|delete|insert|trancate|char|chr|into|substr|ascii|declare|exec|count|master|into|drop|execute)\b)` re, err := regexp.Compile(str) if err != nil { panic(err.Error()) return false } return re.MatchString(to_match_str)
這種方法是有缺陷的(用戶名不能為update之類的), 可以用參數化查詢來規避這種缺陷:
詳見 我的博客: