Go語言SQL注入和防注入
一、SQL注入是什么
SQL注入是一種注入攻擊手段，通過執行惡意SQL語句，進而將任意SQL代碼插入數據庫查詢，從而使攻擊者完全控制Web應用程序后台的數據庫服務器。攻擊者可以使用SQL注入漏洞繞過應用程序驗證，比如繞過登錄驗證登錄Web身份驗證和授權頁面；也可以繞過網頁，直接檢索數據庫的所有內容；還可以惡意修改、刪除和增加數據庫內容。
二、防止SQl注入的思路和方法
- 1.永遠不要信任用戶的輸入。對用戶的輸入進行校驗，可以通過正則表達式，或限制長度；對單引號和 雙"-"進行轉換等。
- 2.永遠不要使用動態拼裝SQL，可以使用參數化的SQL或者直接使用存儲過程進行數據查詢存取。
- 3.永遠不要使用管理員權限的數據庫連接，為每個應用使用單獨的權限有限的數據庫連接。
- 4.不要把機密信息直接存放，加密或者hash掉密碼和敏感的信息。
- 5.應用的異常信息應該給出盡可能少的提示，最好使用自定義的錯誤信息對原始錯誤信息進行包裝
- 6.sql注入的檢測方法一般采取輔助軟件或網站平台來檢測，軟件一般采用sql注入檢測工具jsky，網站平台就有億思網站安全平台檢測工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻擊等。
三、Go語言防止SQL注入的方法
我們采取了第二條思路和方法，即不用動態拼接SQL語句的方法，而是使用參數化查詢，即變量綁定。
下面給出SQL注入攻擊安全漏洞代碼——拼接SQL語句：
//數據庫
/*
Navicat Premium Data Transfer
Source Server : localhost_3306
Source Server Type : MySQL
Source Server Version : 50553
Source Host : localhost:3306
Source Schema : test
Target Server Type : MySQL
Target Server Version : 50553
File Encoding : 65001
Date: 28/02/2020 10:48:06
*/
SET NAMES utf8mb4;
SET FOREIGN_KEY_CHECKS = 0;
-- ----------------------------
-- Table structure for userinfo
-- ----------------------------
DROP TABLE IF EXISTS `userinfo`;
CREATE TABLE `userinfo` (
`uid` int(10) NOT NULL AUTO_INCREMENT,
`username` varchar(64) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL,
`password` varchar(64) CHARACTER SET utf8 COLLATE utf8_general_ci NULL DEFAULT NULL,
PRIMARY KEY (`uid`) USING BTREE
) ENGINE = MyISAM AUTO_INCREMENT = 14 CHARACTER SET = latin1 COLLATE = latin1_swedish_ci ROW_FORMAT = Dynamic;
-- ----------------------------
-- Records of userinfo
-- ----------------------------
INSERT INTO `userinfo` VALUES (2, 'aaa', 'hh');
INSERT INTO `userinfo` VALUES (4, 'ast', 'dddd');
SET FOREIGN_KEY_CHECKS = 1;
//test.go
package main
import (
"database/sql"
"fmt"
_ "github.com/go-sql-driver/mysql"
"html/template"
"log"
"net/http"
"strings"
)
func login(w http.ResponseWriter, r *http.Request) {
fmt.Println("method:", r.Method) //獲取請求的方法
if r.Method == "GET" {
t, _ := template.ParseFiles("D:/Golang/GoItem/go_ex/goSql/test.html")
t.Execute(w, nil)
} else {
//請求的是查詢數據，那么執行查詢的邏輯判斷
r.ParseForm()
fmt.Println("username:", r.Form["username"])
var sename = strings.Join(r.Form["username"], "")
var partname = strings.Join(r.Form["password"], "")
db, err := sql.Open("mysql", "root:123456@/test?charset=utf8")
infoErr(err)
if sename != "" && partname != "" {
var uid int
var username string
var password string
//字符串拼接查詢
err := db.QueryRow("SELECT * FROM userinfo WHERE username ='"+sename+"'AND password ='"+partname+"'").
Scan(&uid, &username, &password)
infoErr(err)
//判斷返回的數據是否為空
if err == sql.ErrNoRows {
fmt.Fprintf(w, "無該用戶數據")
} else {
if (sename == username) && (partname == password) {
fmt.Println(uid)
fmt.Println(username)
fmt.Println(password)
t, _ := template.ParseFiles("D:/Golang/GoItem/go_ex/goSql/success.html")
t.Execute(w, nil)
}
}
} else if sename == "" || partname == "" {
fmt.Fprintf(w, "錯誤，輸入不能為空！")
}
}
}
func infoErr(err error) {
if err != nil {
panic(err)
}
}
func main() {
http.HandleFunc("/login",login) //設置訪問的路由 //設置訪問的路由
err := http.ListenAndServe(":9092", nil) //設置監聽的端口
if err != nil {
log.Fatal("ListenAndServe: ", err)
}
}
//login.html
<html>
<head>
<meta charset="utf-8" />
<title>sql防注入</title>
<style>
form{
width: 30vw;
height: 30vh;
min-height: 300px;
margin: 10vh auto;
border: 1px solid;
border-radius: 4px;
}
form .username,.password{
display: block;
float: right;
}
div {
width: 300px;
height: 80px;
margin: 30px auto 0;
}
input label {
float: left;
display: inline-block;
}
input {
height: 30px;
}
.button {
width: 100px;
margin: auto;
clear: both;
display: block;
}
</style>
</head>
<body>
<form action="/login" method="post">
<div>
<label>username: </label>
<input class="username" type="text" name="username">
</div>
<div>
<label>password:</label>
<input class="password" type="text" name="password">
</div>
<input class="button" type="submit" value="查詢">
</form>
</body>
</html>
解決防SQL注入方案——參數化查詢：
//test.go
package main
import (
"database/sql"
"fmt"
_ "github.com/go-sql-driver/mysql"
"html/template"
"log"
"net/http"
"strings"
)
func login(w http.ResponseWriter, r *http.Request) {
fmt.Println("method:", r.Method) //獲取請求的方法
if r.Method == "GET" {
t, _ := template.ParseFiles("D:/Golang/GoItem/go_ex/goSql/login.html")
t.Execute(w, nil)
} else {
//請求的是查詢數據，那么執行查詢的邏輯判斷
r.ParseForm()
fmt.Println("username:", r.Form["username"])
var sename = strings.Join(r.Form["username"], "")
var partname = strings.Join(r.Form["password"], "")
db, err := sql.Open("mysql", "root:123456@/test?charset=utf8")
checkErr(err)
if sename != "" && partname != "" {
var uid int
var username string
var password string
//參數查詢在一定程度上防止sql注入，參數化查詢主要做了兩件事:
//1.參數過濾；2.執行計划重用
//因為執行計划被重用，所以可以防止SQL注入。
err := db.QueryRow("SELECT * FROM userinfo WHERE username = ? AND password = ?", sename, partname).
Scan(&uid, &username, &password)
//判斷返回的數據是否為空
if err == sql.ErrNoRows {
fmt.Fprintf(w, "無該用戶數據")
} else {
if (sename == username) && (partname == password) {
fmt.Println(uid)
fmt.Println(username)
fmt.Println(password)
t, _ := template.ParseFiles("D:/Golang/GoItem/go_ex/goSQL/success.html")
t.Execute(w, nil)
}
}
} else if sename == "" || partname == "" {
fmt.Fprintf(w, "錯誤，輸入不能為空！")
}
}
}
func checkErr(err error) {
if err != nil {
panic(err)
}
}
func main() {
http.HandleFunc("/login", login) //設置訪問的路由
err := http.ListenAndServe(":9090", nil) //設置監聽的端口
if err != nil {
log.Fatal("ListenAndServe: ", err)
}
}
四、SQL注入判斷
執行登錄查詢的數據庫語句："SELECT * FROM userinfo WHERE username ='"+sename+"'AND password ='"+partname+"'"
當查詢到數據表中存在同時滿足 username 和 password 字段時，會返回用戶信息。 嘗試在用戶名中輸入 123' or 1=1 #, 密碼同樣輸入 123' or 1=1 # ，實際執行的SQL語句是select * from users where username='123' or '1'='1' and password='123' or '1'='1
則會出現一個空白頁面，其實此時SQl注入已經繞過驗證進入到需要身份驗證的頁面。
而如果執行"SELECT * FROM userinfo WHERE username = ? AND password = ?", sename, partname
再次輸入123' or 1=1 #，則會被攔截下來，顯示無該用戶數據。
五、為什么參數化查詢會防止SQL注入
我們需要知道參數化查詢都做了些什么事：
1.參數過濾；
2.執行計划重用
它的原理是采用了預編譯的方法，先將SQL語句中可被客戶端控制的參數集進行編譯，生成對應的臨時變量集，再使用對應的設置方法，為臨時變量集里面的元素進行賦值，而QueryRow()方法會對傳入參數進行強制類性檢查和安全檢查，所以就避免了SQL注入的產生。
QueryRow("SELECT * FROM userinfo WHERE username = ? AND password = ?", sename, partname).
Scan(&uid, &username, &password)