Java安全编码之SQL注入

ゝ一纸荒年。 2022-12-05 10:27 187阅读 0赞

点击上方“java大数据修炼之道”，选择“设为星标”

# 优质文章, 第一时间送达 #

###  ###

![format_png][]

![format_png 1][]

作者：云影实验室   
https://www.freebuf.com/articles/web/245851.html

本文以Java项目广泛采用的两个框架Hibernate和MyBatis 为例来介绍，如何在编码过程中避免SQL注入的几种编码方法，包括对预编译的深度解析，以及对预编译理解的几个“误区”进行了解释。

随着互联网的发展，Java语言在金融服务业、电子商务、大数据技术等方面的应用极其广泛。Java安全编码规范早已成为SDL中不可或缺的一部分。本文以Java项目广泛采用的两个框架Hibernate和MyBatis 为例来介绍，如何在编码过程中避免SQL注入的几种编码方法，包括对预编译的深度解析，以及对预编译理解的几个“误区”进行了解释。

备注，本文是Java语言安全编码会是系列文章的第一篇。

**1. 框架介绍**

目前Hibernate和MyBatis为java项目广泛采用的两个框架。由于Hibernate使用方便，以前的项目采用Hibernate非常的广泛，但是后面由于Hibernate的侵入式特性，后面慢慢被MyBatis所取代 。下面我们会以SpringBoot为基础，分别搭建Hibernate和MyBatis的漏洞环境。

**2. 配置说明**

SpringBoot采用2.3.1.RELEASE，MySQL版本为5.7.20。数据库有一张表user\_tbl。数据如下：

![format_png 2][]

**3. Hibernate**

Hibernate 是一个开放源代码的对象关系映射框架，它对 JDBC 进行了非常轻量级的对象封装，是一个全自动的 ORM 框架。Hibernate 自动生成 SQL 语句，自动执行。

(1) 环境搭建

结构如下，ctl为控制层，service为服务层，dao为持久层。为了方便没有按照标准的接口实现，我们只关注漏洞的部分。

![format_png 3][]

Beans下User.java对用为user\_tbl表结构。

![format_png 4][]

我们使用/inject 接口,p为接受外部的参数，来查询User的列表，使用fastjson来格化式输出。

![format_png 5][]

我们回到dao层。

1)SQL注入

SQL注入我们使用字符串拼接方式：

![format_png 6][]

访问http://localhost:8080/inject?p=m 直接用SQLMap跑一下：

![format_png 7][]

很容易就注入出数据来了。

2)HQL注入

HQL(Hibernate Query Language)是Hibernate专门用于查询数据的语句，有别于SQL，HQL 更接近于面向对象的思维方式。表名就是对应我们上面的entity配置的。HQL注入利用比SQL注入利用难度大，比如一般程序员不会对系统表进行映射，那么通过系统表获取属性的几乎不可能的，同时由于HQL对于复杂的语句支持比较差，对攻击者来说需要花费更多时间去构造可用的payload，更多详细的语法可以参考：

https://docs.huihoo.com/Hibernate/reference-v3\_zh-cn/queryhql.html

![format_png 8][]

3)预编译

我们使用setParameter的方式，也就是我们熟知的预编译的方式。

Query query = (Query) this.entityManager.createQuery("from User u where u.userName like :userName ",User.class);  
    query.setParameter("userName","%"+username+"%");

访问http://localhost:8080/inject?p=m后得到正常结果。

![format_png 9][]

执行注入语句：

http://localhost:8080/inject?p=m’ or ‘1’ like ‘1 返回为空。

![format_png 10][]

我们来看看setParameter的方式到底对我们的SQL语句做了什么。 我们将断点打至Loader.class的bindPreparedStatement。 发现通过预编译后，SQL变为了：

select user0_.id as id1_0_, user0_.password as password2_0_, user0_.username as username3_0_ from user_tbl user0_ where user0_.username like '%'' or ''1'' like ''1%'，

然后交给hikari处理。发现将我们的单引号变成了两个单引号，也就是说把传入的数据变为字符串。

![format_png 11][]

将断点断至mysql-connector-java(也就是我们熟知的JDBC驱动包)的ClientPreparedQueryBindings.setString.这里就是参数设置的地方。

![format_png 12][]

看一下算法：

String parameterAsString = x; 
     
                boolean needsQuoted = true; 
     
                if (this.isLoadDataQuery || this.isEscapeNeededForString(x, stringLength)) { 
     
                    needsQuoted = false; 
     
                    StringBuilder buf = new StringBuilder((int)((double)x.length() * 1.1D)); 
     
                    buf.append('\''); 
     
                    for(int i = 0; i < stringLength; ++i) { 
     
                        char c = x.charAt(i); 
     
                        switch(c) { 
     
                        case '\u0000': 
     
                            buf.append('\\'); 
     
                            buf.append('0'); 
     
                            break; 
     
                        case '\n': 
     
                            buf.append('\\'); 
     
                            buf.append('n'); 
     
                            break; 
     
                        case '\r': 
     
                            buf.append('\\'); 
     
                            buf.append('r'); 
     
                            break; 
     
                        case '\u001a': 
     
                            buf.append('\\'); 
     
                            buf.append('Z'); 
     
                            break; 
     
                        case '"': 
     
                            if (this.session.getServerSession().useAnsiQuotedIdentifiers()) { 
     
                                buf.append('\\'); 
     
                            } 
     
                            buf.append('"'); 
     
                            break; 
     
                        case '\'': 
     
                            buf.append('\''); 
     
                            buf.append('\''); 
     
                            break; 
     
                        case '\\': 
     
                            buf.append('\\'); 
     
                            buf.append('\\'); 
     
                            break; 
     
                        case '¥': 
     
                        case '₩': 
     
                            if (this.charsetEncoder != null) { 
     
                                CharBuffer cbuf = CharBuffer.allocate(1); 
     
                                ByteBuffer bbuf = ByteBuffer.allocate(1); 
     
                                cbuf.put(c); 
     
                                cbuf.position(0); 
     
                                this.charsetEncoder.encode(cbuf, bbuf, true); 
     
                                if (bbuf.get(0) == 92) { 
     
                                    buf.append('\\'); 
     
                                } 
     
                            } 
     
                            buf.append(c); 
     
                            break; 
     
                        default: 
     
                            buf.append(c); 
     
                        } 
     
                    } 
     
                    buf.append('\'');

可以看到mysql-connector-java主要是将将我们’转为了’’,对于转义的\\会变为\\\\,比如对于这种SQL：

SELECT user0_.id AS id1_0_,user0_. PASSWORD AS password2_0_,user0_.username AS username3_0_ 
     
    FROM user_tbl user0_ WHERE user0_.username LIKE '%\' or username = 0x6d #%'

也会变为：

SELECT user0_.id AS id1_0_,user0_. PASSWORD AS password2_0_,user0_.username AS username3_0_ 
     
    FROM user_tbl user0_ WHERE user0_.username LIKE '%\\'' or username = 0x6d #%'

有人会说那我们使用select \* from user\_tbl where id = 1 and user() = 0x726f6f74406c6f63616c686f7374 这种类似的语句，全程没有jdbc里面的危险字符是不是就可以绕过了?mysql-connector-java里面有个非常巧妙的点是，他会根据你传入的类型判断。比如传入的为int类型。就会走setInt。传入的为string就会走setString。所以这段语句还是会被select \* from user\_tbl where id = 1 ‘and user() = 0x726f6f74406c6f63616c686f7374’

我们看到SQL预编译的算法也是非常简单。

**4. MyBatis**

MyBatis是一流的持久性框架，支持自定义SQL，存储过程和高级映射。MyBatis可以使用简单的XML或注释进行配置。现在目前国内大部分公司都是采用的MyBatis框架。

(1) 环境搭建：

下面为我们项目目录结构：

![format_png 13][]

(2) 使用\#\{\}的方式

\#\{\}也就是我们熟知的预编译方式。

![format_png 14][]

访问http://localhost:8080/getList?p=m 后正常的返回：

![format_png 15][]

使用http://localhost:8080/getList?p=m' or ‘1’ like ‘1

结果返回为空。不存在注入。

我们将断点断在PreparedStatementLogger的invoke方法上面，其实这里就是一个代理方法。这里我们看到完整的SQL语句。

![format_png 16][]

同样我们将断点断在：ClientPreparedQueryBindings.setString同样会进去

![format_png 17][]

Hibernate和MyBatis的预编译机制是一样的。

(3) 使用$\{\}的方式

$\{\}的方式也就是MyBatis的字符串连接方式。

![format_png 18][]

使用SQLMap很容易就能跑出数据：

![format_png 19][]

(4) 关于OrderBy

之前有听人说Order By后面的语句是不会参与预编译?这句话是错误的。Order By也是会参与预编译的。从我们上面的jdbc的setString算法可以看到，是因为setString会在参数的前后加上’’，变成字符串。导致Order By失去了原本的意义。只能说是预编译方式的Order By不适用而已。所以对于这种Order By的防御的话建议是直接写死在代码里面。对于Order By方式的注入我们可以通过返回数据的顺序的不同来获取数据。

![format_png 20][]

(5) 关于useServerPrepStmts

其实在只有JDBC在开启了useServerPrepStmts=true的情况下才算是真正的预编译。但是如果是字符串的拼接方式，预编译是没有效果的。从MySQL的查询日志就可以看到。可以看到Prepare的语句。一样是存在SQL注入的。

![format_png 21][]

我们使用占位符的方式：

![format_png 22][]

上面的语句就不存在SQL注入了。

我想这就是JDBC默认为啥不开启useServerPrepStmts=true的原因吧。

**5. 总结**

在能使用预编译的情况下我们应该要使用预编译。在不能使用预编译的情况下，可以对特定类型做规范，比如传数字的需要规范为Integer,Long等。这样会在进入数据库前会提前抛出异常。或者使用Spring的AOP机制，添加一个前置的fitler，对有害的字符清洗或者过滤。但是这样有点笼统，会对全局参数进行清洗。

还有一种比较好的方式是，通过注解的方式，这样会比较方便，可复用性也很好。对不能进行预编译的参数加上过滤有害字符的注解。我们就不在这里做代码的实现，网上有很多可以参考的教程。可以使用Apache Jakarta Commons提供的很多方便的方法来过滤有害字符。

![format_png 23][]

\-- < End > --

####  ####

**最近热文推荐：**

1、[数据库连接池到底应该设多大？][Link 1]

2、[Cookie、Session、Token、JWT 还傻傻分不清楚？][Cookie_Session_Token_JWT]

3、[绝了！一个妹子 rm -rf 把公司整个数据库删没了...][rm -rf _...]

4、[单怼多线程，60道面试题，你能答上几个？（附答案）][60]

5、[这21 个刁钻的HashMap 面试题，我把阿里面试官吊打了！][21 _HashMap]

6、[用 float 存储金额，老板说损失从工资里扣！][float]

7、[美女同事被开除了，因用了Insert into select语句！][Insert into select]

8、[Redis分布式锁没用明白，搞出了大故障…][Redis]

9、[一文讲懂什么是 vlan、三层交换机、网关、DNS、子网掩码、MAC地址][vlan_DNS_MAC]

10、[*【收藏了】10分钟读懂进程线程、同步异步、阻塞非阻塞、并发并行*][10]

**看完本文有收获？请转发分享给更多有需要的人**

####  ####

关注 java大数据修炼之道

**![format_png 24][]**每天学习java技术，你想学的Java知识这里都有！**![format_png 24][]**

![format_png 25][]

微信扫描二维码，关注我的公众号

写留言

朕已阅 ![format_png 26][]

[format_png]: /images/20221123/8798d1e93e994fe6a6adcdff3dcbf3d1.png
[format_png 1]: /images/20221123/6f5c388d3c41499ea52015c7f1355e81.png
[format_png 2]: /images/20221123/6effe16e1ec74d4a8657d68f031a6c9e.png
[format_png 3]: /images/20221123/9f4cfe1e01da4cce9c5ef5b0dd482919.png
[format_png 4]: /images/20221123/737f7fd385b84ed0bd6b6b7c3efbe1d6.png
[format_png 5]: /images/20221123/e4ce08d65f9748dba8e5233cd8cc2dd1.png
[format_png 6]: /images/20221123/f391016f9a214cc88ba52cc6a75a99ed.png
[format_png 7]: /images/20221123/b553ba0968b643dabe77826b098ee860.png
[format_png 8]: /images/20221123/4b3176532ab64578b882f4a8d94728e9.png
[format_png 9]: /images/20221123/903385909060475ebcd27b84a52988e6.png
[format_png 10]: /images/20221123/450924e9719340f68d35e6228b4b21f9.png
[format_png 11]: /images/20221123/1880beda53544c86ba5ae472f60aabda.png
[format_png 12]: /images/20221123/7a795bc0e33b474693104738c4329978.png
[format_png 13]: /images/20221123/b264cb0ca9a5467ea5f587e6af0c6ca3.png
[format_png 14]: /images/20221123/e8088691bf664a978f5a75122919c146.png
[format_png 15]: /images/20221123/a9d583cbb47f4639b4f6a3a6e34ff50c.png
[format_png 16]: /images/20221123/da233f36428b4c4a9293e32fc11c6b24.png
[format_png 17]: /images/20221123/0b96e647d0084e71b32c7736e01b8d8a.png
[format_png 18]: /images/20221123/510d09ff18db4be9b05c606189f9cfd3.png
[format_png 19]: /images/20221123/8a7c3d5e81b2439c98fa5799ddb6851e.png
[format_png 20]: /images/20221123/20078848a92941549aa449d29b14bb64.png
[format_png 21]: /images/20221123/f9859cfd8eff4c7180ba275f5c17f38c.png
[format_png 22]: /images/20221123/06f35a1d4b574dc6b0e942e9d49a17c4.png
[format_png 23]: /images/20221123/75dde50849be40b48962312ee2fe82e0.png
[Link 1]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ%3D%3D&chksm=fbc1d1c7ccb658d16e03e7a803ab928ddfed0d4179f78458c0e96dd327e2c047312162dee379&idx=1&mid=2247491339&scene=21&sn=6e2730e515721d034dbf61d3140df1be#wechat_redirect
[Cookie_Session_Token_JWT]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ%3D%3D&chksm=fbc1d0e7ccb659f156336d78385c2cd5f0d52a68ac0ee49f63f8ec77278dd1d49c4cc6d147f1&idx=1&mid=2247491115&scene=21&sn=c9fadbf53f43d5278cb40c96bfd62a0b#wechat_redirect
[rm -rf _...]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ%3D%3D&chksm=fbc1d0c3ccb659d5129a08c2b746217c443a62d5236c6cf04f34448a16d509b3cb7c44e347f5&idx=1&mid=2247491087&scene=21&sn=4745908795fa45993bc313ee957fb225#wechat_redirect
[60]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ%3D%3D&chksm=fbc1d557ccb65c41ec5d3b7dedd6c7a22949ddcb5de1406de482c3b702a1a4768c66b730b219&idx=1&mid=2247490459&scene=21&sn=66bc23ae41a8abcb9a6f00be754b2e47#wechat_redirect
[21 _HashMap]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ%3D%3D&chksm=fbc1d429ccb65d3fc4be6ab008e4318d3beeccb1394801c72e33cbb9fd162868dce2b9b0c0f2&idx=1&mid=2247490277&scene=21&sn=63d44db7ae6930f25478119f423227d4#wechat_redirect
[float]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ%3D%3D&chksm=fbc1d5cdccb65cdb97329d4ab51a9362c0515d6fe70c3def3dfa370cc2439fef10f9c2a87c51&idx=1&mid=2247490305&scene=21&sn=5649957d74d035a0919293b92a5659f6#wechat_redirect
[Insert into select]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ%3D%3D&chksm=fbc1d343ccb65a55d1535060cccf47478201bbc53f7d3699ee1a2b20c6326b77f1cfae3c51cf&idx=1&mid=2247490959&scene=21&sn=930c3bdbb57de8c1c6af4ad5207f7269#wechat_redirect
[Redis]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ%3D%3D&chksm=fbc1d038ccb6592e2d08ccd07a31a069ebbfc64d9abd2d1cfd88dba5efc1439f14cc78392bf3&idx=1&mid=2247491316&scene=21&sn=59fdccb5447abec7e33c881110c5be1f#wechat_redirect
[vlan_DNS_MAC]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ%3D%3D&chksm=fbc1d1a6ccb658b02324a06087565f979a5c73be807734e367dfbc0211b7bcc6989c1c1ae719&idx=1&mid=2247491434&scene=21&sn=7637688d0e3534648c5b5a418059817d#wechat_redirect
[10]: http://mp.weixin.qq.com/s?__biz=MzU1NjczNTM5NQ%3D%3D&chksm=fbc1d748ccb65e5e8bfe2334dac9c4a1678fa77a4b1c6bb230fb4442682c36120cfb8d8941ae&idx=1&mid=2247489924&scene=21&sn=40b4b841430ae75879b25545291dbf0a#wechat_redirect
[format_png 24]: /images/20221123/b8746af1c7a7433eae8d557e179428c6.png
[format_png 25]: /images/20221123/ea920824c1904397abc16e943b482988.png
[format_png 26]: /images/20221123/81c62c67f318454d9df990ef91ea88f4.png