深入了解Java中的SQL注入

本文以代码实例复现了Java中JDBC及Mybatis框架采用预编译和非预编译时可能存在SQL注入的几种情况，并给予修复建议。

JDBC

首先看第一段代码，使用了远古时期的JDBC并且并没有使用预编译。这种简单的字符串拼接就存在SQL注入

@RequestMapping("/jdbc/vuln")
public String jdbc_sqli_vul(@RequestParam("username") String username) {StringBuilder result = new StringBuilder();try {Class.forName(driver);Connection con = DriverManager.getConnection(url, user, password);if (!con.isClosed())System.out.println("Connect to database successfully.");// sqli vuln codeStatement statement = con.createStatement();String sql = "select * from users where username = '" + username + "'";logger.info(sql);ResultSet rs = statement.executeQuery(sql);while (rs.next()) {String res_name = rs.getString("username");String res_pwd = rs.getString("password");String info = String.format("%s: %s\n", res_name, res_pwd);result.append(info);logger.info(info);}rs.close();con.close();} catch (ClassNotFoundException e) {logger.error("Sorry,can`t find the Driver!");} catch (SQLException e) {logger.error(e.toString());}return result.toString();
}

简单复现下

再看第二段代码，这段代码也是使用了JDBC但使用了PreparedStatement预编译，这回就避免了SQL注入

@RequestMapping("/jdbc/sec")public String jdbc_sqli_sec(@RequestParam("username") String username) {StringBuilder result = new StringBuilder();try {Class.forName(driver);Connection con = DriverManager.getConnection(url, user, password);if (!con.isClosed())System.out.println("Connecting to Database successfully.");// fix codeString sql = "select * from users where username = ?";PreparedStatement st = con.prepareStatement(sql);st.setString(1, username);logger.info(st.toString());  // sql after prepare statementResultSet rs = st.executeQuery();while (rs.next()) {String res_name = rs.getString("username");String res_pwd = rs.getString("password");String info = String.format("%s: %s\n", res_name, res_pwd);result.append(info);logger.info(info);}rs.close();con.close();} catch (ClassNotFoundException e) {logger.error("Sorry, can`t find the Driver!");e.printStackTrace();} catch (SQLException e) {logger.error(e.toString());}return result.toString();}

但是这种预编译在某些情况并不能使用

like模糊查询

例如在使用like进行模糊查询的时候，我们对第二段代码的sql进行修改

select * from users where username like '%?%'

预编译报错

order by

在order by的情况中也不能使用预编译，因为会将进行排序的字段名解析为字符串导致无法正常排序

若强行预编译

select * from users order by ?

数据库数据如下

我想根据username进行排序则需要以下sql

select * from users order by username

成功执行顺序是对的

但是强行预编译会将sql解析成

select * from users order by 'username'

排序错误导致失去作用

in

正常情况下的where in

select * from users where id in (1,2,3)

若强行预编译

select * from users where id in ?

导致结果报错

select * from users where id in '(1,2,3)'

mybatis

mybatis与hibernate等框架同样存在这些问题，hibernate现在很少用以mybatis为例

Mapper注解未使用占位符预编译存在SQL注入

 @Select("select * from users where username = '${username}'")List findByUserNameVuln01(@Param("username") String username);

Mapper xml未使用占位符预编译存在SQL注入

select * from users where username like '%${_parameter}%'

Mapper xml在排序时未采用占位符预编译存在SQL注入

select * from usersorder by ${order} asc

安全的mybatis代码

@Select("select * from users where username = #{username}")
User findByUserName(@Param("username") String username);

select * from users where id = #{id}

select * from users order by id asc limit 1

修复

1.可以的话对参数进行类型转换，数字型注入很少出现大多都是字符串拼接

Interge.valueof()

2.占位符预编译，目前最有效的办法

3.like，order by，where in需要特殊处理

例如：

处理like

select * from user where username like concat('%', ?, '%')

处理order by

可以做白名单处理sql

/*** 过滤mybatis中order by不能用#的情况。* 严格限制用户输入只能包含a-zA-Z0-9_-.字符。** @param sql sql* @return 安全sql，否则返回null*/
private static final Pattern FILTER_PATTERN = Pattern.compile("^[a-zA-Z0-9_/\\.-]+$");public static String sqlFilter(String sql) {if (!FILTER_PATTERN.matcher(sql).matches()) {return null;}return sql;}

也可以在java层面做映射处理，例如限制用户输入1或2不同数字对应不同的排序

处理in

可以使用Mybatis自带循环指令解决SQL语句动态拼接的问题

select * from users where id in#{item} 

SQL注入排查

可以使用专用的安全扫描工具也可以进行手动排查

关键字：Select、Dao 、from 、delete 、update、insert