上周给别人做了个网站，无意间发现自己的作品有很多漏洞，在短短的20秒就被自己用sql注入法给干了。所以查了一点关于sql注入的资料，并且有点感悟，希望能与新手们分享一下。高手们见笑了！
SQL注入攻击的总体思路：
发现SQL注入位置；
判断服务器类型和后台数据库类型；
确定可执行情况
对于有些攻击者而言，一般会采取sql注入法。下面我也谈一下自己关于sql注入法的感悟。
注入法：
从理论上说，认证网页中会有型如：
select * from admin where username='XXX' and password='YYY' 的语句，若在正式运行此句之前，如果没有进行必要的字符过滤，则很容易实施SQL注入。
如在用户名文本框内输入：abc’ or 1=1-- 在密码框内输入：123 则SQL语句变成：
select * from admin where username='abc’ or 1=1 and password='123’ 不管用户输入任何用户名与密码，此语句永远都能正确执行，用户轻易骗过系统，获取合法身份。
猜解法：
基本思路是：猜解所有数据库名称，猜出库中的每张表名，分析可能是存放用户名与密码的表名，猜出表中的每个字段名，猜出表中的每条记录内容。
还有一种方式可以获得你的数据库名和每张表的名。
就是通过在形如：http://www. .cn/news?id=10'的方式来通过报错获得你的数据库名和表名！
对于jsp而言我们一般采取一下策略来应对：
1、PreparedStatement
如果你已经是稍有水平开发者,你就应该始终以PreparedStatement代替Statement.
以下是几点原因
1、代码的可读性和可维护性.
2、PreparedStatement尽最大可能提高性能.
3、最重要的一点是极大地提高了安全性.
到目前为止，有一些人（包括本人）连基本的恶义SQL语法都不知道.
String sql = "select * from tb_name where name= '"+varname+"' and passwd='"+varpasswd+"'";
如果我们把[' or '1' = '1]作为name传入进来.密码随意,看看会成为什么? 网管网bitsCN.com
select * from tb_name = 'or '1' = '1' and passwd = '随意' ;
因为'1'='1'肯定成立,所以可以任何通过验证.更有甚者:
把['; drop table tb_name; ]作为varpasswd传入进来,则:
select * from tb_name = '随意' and passwd = ''; drop table tb_name; 有些数据库是不会让你成功的,但也有很多数据库就可以使这些语句得到执行.
而如果你使用预编译语句.你传入的任何内容就不会和原来的语句发生任何匹配的关系.(前提是数据库本身支持预编译,但上前可能没有什么服务端数据库不支持编译了,只有少数的桌面数据库,就是直接文件访问的那些只要全使用预编译语句,你就用不着对传入的数据做任何过虑.而如果使用普通的 statement,有可能要对drop,; 等做费尽心机的判断和过虑.
2、正则表达式
2.1、检测SQL meta-characters的正则表达式 /(\%27)|(\')|(\-\-)|(\%23)|(#)/ix
2.2、修正检测SQL meta-characters的正则表达式 /((\%3D)|(=))[^\n]*((\%27)|(\')|(\-\-) 54ne.com
|(\%3B)|(
)/i
2.3、典型的 SQL 注入攻击的正则表达式 /\w*((\%27)|(\'))((\%6F)|o|(\%4F))((\%72)|r|(\
2.4、检测SQL注入，UNION查询关键字的正则表达式 /((\%27)|(\'))union/ix(\%27)|(\') - 单
引号和它的hex等值 union - union关键字。
2.5、检测MS SQL Server SQL注入攻击的正则表达式 /exec(\s|\+)+(s|x)p\w+/ix
3、字符串过滤
public static String filterContent(String content){
String flt ="'|and|exec|insert|select|delete|update|count|*|%
|chr|mid|master|truncate|char|declare|; |or|-|+|,";
Stringfilter[] = flt.split("|");
for(int i=0; i {
content.replace(filter, "");
}
return content;
}
4、不安全字符屏蔽
本部分采用js来屏蔽，起的作用很小，这样用屏蔽关键字的方法虽然有一定作用，但是在实际应用中这些 SQL的关键字也可能成为真正的查询关键字，到那是被你屏蔽了那用户不是不能正常的使用了。 只要在代码规范上下点功夫就可以了。
凡涉及到执行的SQL中有变量时，用JDBC（或者其他数据持久层）提供的如：PreparedStatement就可以 ，切记不要用拼接字符串的方法就可以了.
功能介绍：检查是否含有"'","\\","/"
参数说明：要检查的字符串
返回值：0：是 1：不是
函数名是
function check(a)
{
return 1;
fibdn = new Array ("'" ,"\\","/");
i=fibdn.length;
j=a.length;
for (ii=0; ii { for (jj=0; jj
{ temp1=a.charAt(jj);
temp2=fibdn[ii];
if (tem'; p1==temp2)
{ return 0; }
}
}
return 1;
}
如果客户提交后,按F5刷新怎么办?
使用Session
在提交的页面也就是数据库处理之前：
if session("ok")=true then response.write "错误，正在提交" response.endend if
数据处理完后，修改session("ok")=false。
数据处理成功马上Redirect到另外一个页面
操作后刷新的确是个问题，你可以使用跳转页面、关闭本页面，如果是有参数据条件来控制的，那就应该好做了，可以直接修改window.location的值，把参数全部改掉，这样就差不多了。
缺点：简单地运用Response.Redirect将不再有效，因为用户从一个页面转到另一个页面，我们都必须用客户端代码清除location.history。注意，这种方法清除的是最后一个访问历史记录，而不是全部的访问记录。 点击后退按钮，再点击后退按钮，你可以看到这时打开的是本页面之前的页面！（当然，这是在你的客户端启用了JavaScript功能的条件下。）
如果客户按后退，怎么办？
防止网页后退--禁止缓存
我们在进行数据库添加操作的时候，如果允许后退，而正巧有刷新了页面，就会再次执行添加操作，无疑这不是我们需要的，像一般网上很多禁止缓存的代码，有时并不可靠，这时你只要在操作的页面加上就可以了，在网页的里指定要定向的新页，再点后退，看是不是不会再退到刚才的操作页面了，实际上已经把这个历史给删除了
ASP：
Response.Buffer = True Response.ExpiresAbsolute = Now() - 1 Response.Expires = 0 Response.CacheControl = "no-cache"
ASP.NET：
Response.Buffer=true;Response.ExpiresAbsolute=DateTime.Now.AddSeconds(-1);Response.Expires=0;Response.CacheControl="no-cache";
究竟怎样才能"禁用"浏览器的后退按钮？或者“怎样才能防止用户点击后退按钮返回以前浏览过的页面？”
遗憾的是，我们无法禁用浏览器的后退按钮。
防止网页后退--新开窗口
用window.open弹出表单页面，点提交后关闭该页；处理提交的ASP页也是用弹出，设定表单的target,点提交时window.open("XXX.asp","_blank"),然后用JS来提交表单，完成后window.close()；
简单的说，就是提交表单的时候弹出新窗口，关闭本窗口。对于window.open()打开的窗口怎么后退？能后退到哪里去？
呵呵，罗嗦了一堆废话，知道怎么处理了么？混合运用客户端脚本和服务器端脚本。 jsp重复提交问题
看了网上的，有几种方法：
1 在你的表单页里HEAD区加入这段代码:
<META HTTP-EQUIV="pragma" CONTENT="no-cache"> <META HTTP-EQUIV="Cache-Control" CONTENT="no-cache, must-revalidate"> <META HTTP-EQUIV="expires" CONTENT="Wed, 26 Feb 1997 08:21:57 GMT">
2 生成一个令牌保存在用户session中，在form中加一个hidden域，显示该令牌的值，form提交后重新生成一个新的令牌，将用户提交的令牌和session 中的令牌比较，如相同则是重复提交
3 在你的服务器端控件的代码中使用Response.Redirect("selfPage")语句。但是大多的数都不使用这种方法。
方法还有很多。。。
4 、
<input type="button" value="提交">
5 在JSP页面的FORM表单中添加一个hidden域
<input type="hidden" name="url"value=<%=request.getRequestURL()%>>
在你的serverlet（Java代码）中添加如下语句
String url=request.getParameter("url"); response.sendRedirect(url);
我一般都是采用这样的方法返回JSP页面的,不太明白你说的重复刷新是什么概念
6 ajax 无刷新提交
7 Web开发中防止浏览器的刷新键引起系统操作重复提交
怎么解决呢？重定向可以解决页面刷新带来的数据的重复提交的问题，我们自然可以利用重定向的方式来解决这个问题。但是struts的action里面mapping.findword（）；跳转的话，默认的是在工程文件夹里面找要跳转的页面。这种情况，怎么解决呢？
修改struts－config.xml 文件， 在action里面有一个redirect重新定向的属性，struts中默认的是false，添加这个属性，改成true，在forword中写上要跳转页面的绝对或者相对地址就行了
修改如下：
<action-mappings><action attribute="newsActionForm" name="newsActionForm" input="/addnews.jsp" path="/newsAction" parameter="method" scope="request" type="com.yongtree.news.action.NewsAction"> <forward name="list" path="/listnews.jsp" redirect="true"></forward> <forward name="error" path="/addnews.jsp"></forward></action></action-mappings>
浏览器相关难处理的问题
浏览器的后退按钮使得我们能够方便地返回以前访问过的页面，它无疑非常有用。但有时候我们不得不关闭这个功能，以防止用户打乱预定的页面访问次序。本文介绍网络上可找到的各种禁用浏览器后退按钮方案，分析它们各自的优缺点和适用场合。
一、概述
曾经有许多人问起，“怎样才能‘禁用'浏览器的后退按钮？”，或者“怎样才能防止用户点击后退按钮返回以前浏览过的页面？”在ASP论坛上，这个问题也是问得最多的问题之一。遗憾的是，答案非常简单：我们无法禁用浏览器的后退按钮。
起先我对于居然有人想要禁用浏览器的后退按钮感到不可思议。后来，看到竟然有那么多的人想要禁用这个后退按钮，我也就释然（想要禁用的只有后退按钮，不包括浏览器的前进按钮）。因为在默认情况下，用户提交表单之后可以通过后退按钮返回表单页面（而不是使用“编辑”按钮！），然后再次编辑并提交表单向数据库插入新的记录。这是我们不愿看到的。
因此我就决定要找出避免出现这种情况的方法。我访问了许多网站，参考了这些网站所介绍的各种实现方法。如果你经常访问ASP编程网站，本文所介绍的部分内容你可能已经见到过。本文的任务是把各种可能的方法都介绍给大家，然后找出最好的方法！
二、禁止缓存
在我找到的许多方案中，其中有一种建议禁止页面缓存。具体是使用服务器端脚本，如下所示：
<% Response.Buffer = True Response.ExpiresAbsolute = Now() - 1 Response.Expires = 0 Response.CacheControl = "no-cache" %>
这种方法非常有效！它强制浏览器重新访问服务器下载页面，而不是从缓存读取页面。使用这种方法时，编程者的主要任务是创建一个会话级的变量，通过这个变量确定用户是否仍旧可以查看那个不适合通过后退按钮访问的页面。由于浏览器不再缓存这个页面，当用户点击后退按钮时浏览器将重新下载该页面，此时程序就可以检查那个会话变量，看看是否应该允许用户打开这个页面。
例如，假设我们有如下表单：
<% Response.Buffer = True Response.ExpiresAbsolute = Now() - 1 Response.Expires = 0 Response.CacheControl = "no-cache" If Len(Session("FirstTimeToPage")) > 0 then &single; 用户已经访问过当前页面，现在是再次返回访问。 &single; 清除会话变量，将用户重定向到登录页面。 Session("FirstTimeToPage") = "" Response.Redirect "/Bar.asp" Response.End End If &single; 如果程序运行到这里，说明用户能够查看当前页面 &single; 以下开始创建表单 %> <form method=post action="SomePage.asp"> <input type=submit> </form>
我们借助会话变量FirstTimeToPage检查用户是否是第一次访问当前页面。如果不是第一次（即Session("FirstTimeToPage")包含某个值），那么我们就清除会话变量的值，然后把用户重新定向到一个开始页面。这样，当表单提交时（此时SompePage.asp被打开），我们必须赋予FirstTimeToPage一个值。即，在SomePage.asp中我们需要加上下面的代码：
Session("FirstTimeToPage") = "NO"
这样，已经打开SomePage.asp的用户如果点击后退按钮，浏览器将重新请求服务器下载页面，服务器检查到Session("FirstTimeToPage")包含了一个值，于是就清除Session("FirstTimeToPage")，并把用户重定向到其他页面。当然，所有这一切都需要用户启用了Cookie，否则会话变量将是无效的。
另外，我们也可以用客户端代码使浏览器不再缓存Web页面：
<html> <head> <meta http-equiv="Expires" CONTENT="0"> <meta http-equiv="Cache-Control" CONTENT="no-cache"> <meta http-equiv="
ragma" CONTENT="no-cache"> </head>
如果使用上面的方法强制浏览器不再缓存Web页面，必须注意以下几点：
只有在使用安全连接时“Pragma: no-cache”才防止浏览器缓存页面。对于不受安全保护的页面，“Pragma: no-cache”被视为与“Expires: -1”相同，此时浏览器仍旧缓存页面，但把页面标记为立即过期。在IE 4或5中，“Cache-Control”META HTTP-EQUIV标记将被忽略，不起作用。
在实际应用中我们可以加上所有这些代码。然而，由于这种方法不能适用于所有的浏览器，所以是不推荐使用的。但如果是在Intranet环境下，管理员可以控制用户使用哪种浏览器，我想还是有人会使用这种方法。
三、其他方法
接下来我们要讨论的方法以后退按钮本身为中心，而不是浏览器缓存。这儿有一篇文章Rewiring the Back Button很值得参考。不过我注意到，如果使用这种方法，虽然用户点击一下后退按钮时他不会看到以前输入数据的页面，但只要点击两次就可以，这可不是我们希望的效果，因为很多时候，固执的用户总是能够找到绕过预防措施的办法。
另外一种禁用后退按钮的办法是用客户端JavaScript打开一个没有工具条的窗口，这使得用户很难返回前一页面，但不是不可能。一种更安全但相当恼人的方法是，当表单提交时打开一个新的窗口，与此同时关闭表单所在的窗口。但我觉得这种方法不值得认真考虑，因为我们总不能让用户每提交一个表单就打开一个新窗口。
那么，在那个我们不想让用户返回的页面是否也可以加入JavaScript代码呢？在这个页面中加入的JavaScript代码可用来产生点击前进按钮的效果，这样也就抵消了用户点击后退按钮所产生的动作。用于实现该功能的JavaScript代码如下所示：
<script language="JavaScript"> <!-- javascript:window.history.forward(1); //--> </script>
同样地，这种方法虽然有效，但距离“最好的方法”还差得很远。后来我又看到有人建议用location.replace从一个页面转到另一个页面。这种方法的原理是，用新页面的URL替换当前的历史纪录，这样浏览历史记录中就只有一个页面，后退按钮永远不会变为可用。我想这可能正是许多人所寻求的方法，但这种方法仍旧不是任何情况下的最好方法。使用这种方法的实例如下所示：
<A HREF="ageName.htm" >禁止后退到本页面的链接</A>
禁止后退到本页面的链接！
这种方法的缺点在于：简单地运用Response.Redirect将不再有效，这是因为每次用户从一个页面转到另一个页面，我们都必须用客户端代码清除location.history。另外还要注意，这种方法清除的是最后一个访问历史记录，而不是全部的访问记录。
点击上面的链接，你将打开一个简单的HTML页面。再点击后退按钮，你可以看到这时打开的不是本页面，而是本页面之前的页面！（当然，你必须在浏览器中启用了客户端JavaScript代码。）
经过一番仔细的寻寻觅觅之后，我发现仍旧无法找出真正能够完全禁用浏览器后退按钮的办法。所有这里介绍的方法都能够在不同程度上、以不同的方式禁止用户返回前一页面，但它们都有各自的局限。由于不存在能够完全禁用后退按钮的方法，所以最好的方案应该是：混合运用客户端脚本和服务器端脚本。
<html> <head> <meta http-equiv="Expires" CONTENT="0"> <meta http-equiv="Cache-Control" CONTENT="no-cache"> <meta http-equiv="ragma" CONTENT="no-cache"> </head> <script language="JavaScript"> <!-- javascript:window.history.forward(1); //--> </script></html>
Asp.net中防刷新重复提交、防后退方法
简单操作方法防后退和刷新
Page_Load中加入
Response.Cache.SetNoStore();//Session中存储的变量“IsSubmit”是标记是否提交成功的 if (!IsPostBack)if (Session["IsSubmit"]==null)Session.Add("IsSubmit",false);if ((bool)Session["IsSubmit"]){//如果表单数据提交成功，就设“Session["IsSubmit"]”为falseSession["IsSubmit"] = false;//显示提交成功信息TextBox1.Text = " * 提交成功!";} else{//否则的话（没有提交，或者是页面刷新），不显示任何信息TextBox1.Text = ""; Response.End();}
提交按钮中加入
Session["IsSubmit"] = true;Response.Redirect ("本页");
另外：
1、通常应该在业务层进行判断（唯一性）解决这种问题
2、要在页面装载事件写上 Response.CacheControl = "no-cache" 清除缓存
3、也有人这样说：我以前也碰到过这样的问题，是在分步提交中一个人的简历，在写完第一个页面后跳到第二个页面，为了防止用户用后退返回到第一个页面，再重新提交第一个页面，我是当用户提交第一次提交第一个页面时，把插入数据库中的记录的自增长id号放到session里，当用户从第二个页面返回到第一个页面再一次提交该页面时，我就用session里的值去数据库查，如果有这个id就用update语句把第一个页面的数据写进数据库，如果没有查到这个id,就用insert语句。
|( 京ICP备09078825号 )
发表于 2017-7-10 00:30:27
收藏
