Java - рядок втечі для запобігання ін'єкції SQL

Я намагаюся поставити на Java якусь ін'єкцію anti sql, і мені дуже важко працювати з рядковою функцією "zamjenji". В кінцевому рахунку я потрібна функція , яка буде перетворювати будь-які існуючі \в \\будь-який "для \"будь-якого 'до \', і будь-який , \nщоб \\nтаким чином , що , коли рядок обчислюється з допомогою ін'єкцій MySQL SQL буде заблокований.

Я підключив якийсь код, з яким я працював, і всі \\\\\\\\\\\функції, які змушують мене зводити очі. Якщо у когось є приклад цього, я дуже вдячний.

PreparedStatements - це шлях, оскільки вони роблять неможливим введення SQL. Ось простий приклад, який приймає дані користувача як параметри:

public insertUser(String name, String email) {
   Connection conn = null;
   PreparedStatement stmt = null;
   try {
      conn = setupTheDatabaseConnectionSomehow();
      stmt = conn.prepareStatement("INSERT INTO person (name, email) values (?, ?)");
      stmt.setString(1, name);
      stmt.setString(2, email);
      stmt.executeUpdate();
   }
   finally {
      try {
         if (stmt != null) { stmt.close(); }
      }
      catch (Exception e) {
         // log this error
      }
      try {
         if (conn != null) { conn.close(); }
      }
      catch (Exception e) {
         // log this error
      }
   }
}

Незалежно від того, які символи є у імені та електронної пошти, ці символи будуть розміщені безпосередньо в базі даних. Вони ніяк не вплинуть на оператор INSERT.

Існують різні методи набору для різних типів даних - який ви використовуєте, залежить від того, які поля вашої бази даних. Наприклад, якщо у базі даних є стовпець INTEGER, ви повинні використовувати setIntметод. Документація PreparedStatement перераховує всі різні методи, доступні для налаштування та отримання даних.

Єдиний спосіб запобігти ін'єкції SQL - це параметризований SQL. Просто не можливо створити розумніший фільтр, ніж люди, які хакують SQL на життя.

Тож використовуйте параметри для всіх входів, оновлень та пунктів де. Dynamic SQL - це просто відкрита двері для хакерів, яка включає динамічний SQL у збережених процедурах. Параметризувати, параметризувати, параметризувати.

Якщо ви дійсно не можете використовувати варіант 1 захисту: підготовлені заяви (параметризовані запити) або варіант захисту 2: збережені процедури , не створюйте власний інструмент, використовуйте API безпеки OWASP Enterprise Security . З OWASP ESAPI, розміщеного в коді Google:

Не пишіть власні засоби безпеки! Повторне винахід колеса, коли справа стосується розробки засобів безпеки для кожного веб-додатка чи веб-сервісу, призводить до втрати часу та великих пробілів у безпеці. Інструменти програмного забезпечення OWASP Enterprise Security API (ESAPI) допомагають розробникам програмного забезпечення захищати від недоліків дизайну та впровадження, пов'язаних із безпекою.

Докладніші відомості див. У розділі Запобігання ін'єкції SQL у Java та шпаргалка запобігання ін'єкцій SQL .

Зверніть особливу увагу на Варіант захисту 3: Уникнення всього вводу, що надається користувачем, який представляє проект OWASP ESAPI ).

(Це відповідь на коментар ОП під початковим запитанням; я повністю погоджуюсь, що PreparedStatement - це інструмент для цієї роботи, а не регулярні вирази.)

Коли ви говорите \n, чи ви маєте на увазі послідовність \+ nабо фактичний символ передачі ліній? Якщо це \+ n, завдання досить просте:

s = s.replaceAll("['\"\\\\]", "\\\\$0");

Для того, щоб відповідати одному зворотному косому ряду у введенні, ви додаєте чотири з них у рядок регулярних виразів. Щоб покласти один зворотний проріз у висновку, ви помістите чотири з них у рядок заміни. Це передбачає, що ви створюєте регулярні вирази та заміни у вигляді літералів Java String. Якщо ви створюєте їх будь-яким іншим способом (наприклад, зчитуючи їх з файлу), вам не доведеться робити все це подвійним уникненням.

Якщо у вхідного сигналу є символ передачі рядків, і ви хочете замінити його послідовністю виходу, ви можете зробити другий пропуск над входом за допомогою цього:

s = s.replaceAll("\n", "\\\\n");

Або, можливо, ви хочете два нахили нахилу (я не надто зрозумів у цьому):

s = s.replaceAll("\n", "\\\\\\\\n");

Підготовлені Держави - це шлях у більшості, але не у всіх випадках. Іноді ви опинитесь у ситуації, коли запит або його частина має бути побудована та збережена як рядок для подальшого використання. Перегляньте шпаргалку SQL Injection Prevention на веб-сайті OWASP для отримання більш детальної інформації та API на різних мовах програмування.

Підготовлені заяви є найкращим рішенням, але якщо вам дійсно потрібно це зробити вручну, ви також можете використовувати StringEscapeUtilsклас з бібліотеки Apache Commons-Lang. Він має escapeSql(String)метод, яким ви можете скористатися:

import org.apache.commons.lang.StringEscapeUtils; … String escapedSQL = StringEscapeUtils.escapeSql(unescapedSQL);

Використовуючи регулярний вираз для видалення тексту, який може викликати інжекцію SQL, звучить так, що оператор SQL надсилається в базу даних, Statementа не через a PreparedStatement.

Один з найпростіших способів запобігти ін'єкції SQL, в першу чергу, це використання a PreparedStatement, який приймає дані для заміни в оператор SQL за допомогою заповнювачів, який не покладається на строкові конкатенації для створення оператора SQL для надсилання в базу даних.

Для отримання додаткової інформації, найкраще почати використовувати підготовлені заяви з навчальних посібників Java .

Якщо ви маєте справу зі застарілою системою, або у вас занадто багато місць для переходу на PreparedStatements за занадто мало часу - тобто, якщо є перешкода для використання найкращої практики, запропонованої іншими відповідями, ви можете спробувати AntiSQLFilter

Вам потрібен наступний код нижче. На перший погляд, це може виглядати як будь-який старий код, який я склав. Однак те, що я зробив, - це поглянути на вихідний код http://grepcode.com/file/repo1.maven.org/maven2/mysql/mysql-connector-java/5.1.31/com/mysql/jdbc/PreparedStatement. java . Потім після цього я ретельно переглянув код setString (int parameterIndex, String x), щоб знайти символи, яким він уникає, і налаштував це на мій власний клас, щоб його можна було використовувати для потреб, які вам потрібні. Зрештою, якщо це список персонажів, від яких Oracle уникає, знаючи, що це справді заспокоює безпеку. Можливо, Oracle потребує натискання, щоб додати метод, подібний до цього, для наступного головного випуску Java.

public class SQLInjectionEscaper {

    public static String escapeString(String x, boolean escapeDoubleQuotes) {
        StringBuilder sBuilder = new StringBuilder(x.length() * 11/10);

        int stringLength = x.length();

        for (int i = 0; i < stringLength; ++i) {
            char c = x.charAt(i);

            switch (c) {
            case 0: /* Must be escaped for 'mysql' */
                sBuilder.append('\\');
                sBuilder.append('0');

                break;

            case '\n': /* Must be escaped for logs */
                sBuilder.append('\\');
                sBuilder.append('n');

                break;

            case '\r':
                sBuilder.append('\\');
                sBuilder.append('r');

                break;

            case '\\':
                sBuilder.append('\\');
                sBuilder.append('\\');

                break;

            case '\'':
                sBuilder.append('\\');
                sBuilder.append('\'');

                break;

            case '"': /* Better safe than sorry */
                if (escapeDoubleQuotes) {
                    sBuilder.append('\\');
                }

                sBuilder.append('"');

                break;

            case '\032': /* This gives problems on Win32 */
                sBuilder.append('\\');
                sBuilder.append('Z');

                break;

            case '\u00a5':
            case '\u20a9':
                // escape characters interpreted as backslash by mysql
                // fall through

            default:
                sBuilder.append(c);
            }
        }

        return sBuilder.toString();
    }
}

Після пошуку тестування багато рішення для запобігання sqlmap від введення sql, у випадку застарілої системи, яка не може застосовувати підготовлені статури скрізь.

java-security-cross-site-scripting-xss-and-sql-injection topic БЕШЕ РІШЕННЯ

Я спробував рішення @Richard, але в моєму випадку не вийшло. Я використав фільтр

Мета цього фільтра - перетворити запит у власну кодовану обгортку MyHttpRequestWrapper, яка перетворює:

параметри HTTP зі спеціальними символами (<,>, ', ...) у HTML-кодах методом org.springframework.web.util.HtmlUtils.htmlEscape (...). Примітка. У Apache Commons існує подібний клас: org.apache.commons.lang.StringEscapeUtils.escapeHtml (…) символи ін'єкції SQL (', «,…) через клас Apache Commons classe org.apache.commons.lang.StringEscapeUtils. escapeSql (…)

<filter>
<filter-name>RequestWrappingFilter</filter-name>
<filter-class>com.huo.filter.RequestWrappingFilter</filter-class>
</filter>

<filter-mapping>
<filter-name>RequestWrappingFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>




package com.huo.filter;

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletReponse;
import javax.servlet.http.HttpServletRequest;

public class RequestWrappingFilter implements Filter{

    public void doFilter(ServletRequest req, ServletReponse res, FilterChain chain) throws IOException, ServletException{
        chain.doFilter(new MyHttpRequestWrapper(req), res);
    }

    public void init(FilterConfig config) throws ServletException{
    }

    public void destroy() throws ServletException{
    }
}




package com.huo.filter;

import java.util.HashMap;
import java.util.Map;

import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;

import org.apache.commons.lang.StringEscapeUtils;

public class MyHttpRequestWrapper extends HttpServletRequestWrapper{
    private Map<String, String[]> escapedParametersValuesMap = new HashMap<String, String[]>();

    public MyHttpRequestWrapper(HttpServletRequest req){
        super(req);
    }

    @Override
    public String getParameter(String name){
        String[] escapedParameterValues = escapedParametersValuesMap.get(name);
        String escapedParameterValue = null; 
        if(escapedParameterValues!=null){
            escapedParameterValue = escapedParameterValues[0];
        }else{
            String parameterValue = super.getParameter(name);

            // HTML transformation characters
            escapedParameterValue = org.springframework.web.util.HtmlUtils.htmlEscape(parameterValue);

            // SQL injection characters
            escapedParameterValue = StringEscapeUtils.escapeSql(escapedParameterValue);

            escapedParametersValuesMap.put(name, new String[]{escapedParameterValue});
        }//end-else

        return escapedParameterValue;
    }

    @Override
    public String[] getParameterValues(String name){
        String[] escapedParameterValues = escapedParametersValuesMap.get(name);
        if(escapedParameterValues==null){
            String[] parametersValues = super.getParameterValues(name);
            escapedParameterValue = new String[parametersValues.length];

            // 
            for(int i=0; i<parametersValues.length; i++){
                String parameterValue = parametersValues[i];
                String escapedParameterValue = parameterValue;

                // HTML transformation characters
                escapedParameterValue = org.springframework.web.util.HtmlUtils.htmlEscape(parameterValue);

                // SQL injection characters
                escapedParameterValue = StringEscapeUtils.escapeSql(escapedParameterValue);

                escapedParameterValues[i] = escapedParameterValue;
            }//end-for

            escapedParametersValuesMap.put(name, escapedParameterValues);
        }//end-else

        return escapedParameterValues;
    }
}

Від: [Джерело]

public String MysqlRealScapeString(String str){
  String data = null;
  if (str != null && str.length() > 0) {
    str = str.replace("\\", "\\\\");
    str = str.replace("'", "\\'");
    str = str.replace("\0", "\\0");
    str = str.replace("\n", "\\n");
    str = str.replace("\r", "\\r");
    str = str.replace("\"", "\\\"");
    str = str.replace("\\x1a", "\\Z");
    data = str;
  }
return data;

}

Якщо ви використовуєте PL / SQL, ви також можете використовувати DBMS_ASSERT його, щоб очистити ваш вклад, щоб ви могли використовувати його, не турбуючись про ін'єкції SQL.

див. цю відповідь, наприклад: https://stackoverflow.com/a/21406499/1726419