Java - escape string untuk mencegah injeksi SQL

Saya mencoba untuk menempatkan beberapa injeksi anti sql di Jawa dan saya merasa sangat sulit untuk bekerja dengan fungsi string "replaceAll". Pada akhirnya saya membutuhkan fungsi yang akan mengkonversi semua yang ada \ke \\, "ke \", 'ke \', dan \nke apa pun \\nsehingga ketika string dievaluasi oleh MySQL, suntikan SQL akan diblokir.

Saya telah mendongkrak beberapa kode yang sedang saya kerjakan dan semua \\\\\\\\\\\fungsinya membuat mata saya jadi gila. Jika ada orang yang memiliki contoh ini, saya akan sangat menghargainya.

PreparedStatements adalah cara yang harus dilakukan, karena mereka membuat injeksi SQL tidak mungkin. Berikut ini contoh sederhana mengambil input pengguna sebagai parameter:

public insertUser(String name, String email) {
   Connection conn = null;
   PreparedStatement stmt = null;
   try {
      conn = setupTheDatabaseConnectionSomehow();
      stmt = conn.prepareStatement("INSERT INTO person (name, email) values (?, ?)");
      stmt.setString(1, name);
      stmt.setString(2, email);
      stmt.executeUpdate();
   }
   finally {
      try {
         if (stmt != null) { stmt.close(); }
      }
      catch (Exception e) {
         // log this error
      }
      try {
         if (conn != null) { conn.close(); }
      }
      catch (Exception e) {
         // log this error
      }
   }
}

Tidak peduli karakter apa yang ada dalam nama dan email, karakter-karakter itu akan ditempatkan secara langsung dalam database. Mereka tidak akan mempengaruhi pernyataan INSERT dengan cara apa pun.

Ada beberapa metode kumpulan untuk tipe data yang berbeda - yang Anda gunakan tergantung pada bidang database Anda. Misalnya, jika Anda memiliki kolom INTEGER dalam database, Anda harus menggunakan setIntmetode. Dokumentasi PreparedStatement mencantumkan semua metode berbeda yang tersedia untuk mengatur dan mendapatkan data.

Satu-satunya cara untuk mencegah injeksi SQL adalah dengan SQL parameter. Sangat tidak mungkin untuk membangun filter yang lebih pintar daripada orang yang meretas SQL untuk mencari nafkah.

Jadi gunakan parameter untuk semua input, pembaruan, dan klausa mana. Dynamic SQL hanyalah pintu terbuka bagi peretas, dan itu termasuk SQL dinamis dalam prosedur tersimpan. Parameterisasi, parameterisasi, parameterisasi.

Jika Anda benar-benar tidak dapat menggunakan Opsi Pertahanan 1: Pernyataan yang Disiapkan (Kueri Parameterized) atau Opsi Pertahanan 2: Prosedur Tersimpan , jangan membuat alat Anda sendiri, gunakan API Keamanan OWASP Enterprise . Dari OWASP ESAPI yang dihosting di Google Code:

Jangan tulis kontrol keamanan Anda sendiri! Menemukan kembali roda ketika datang untuk mengembangkan kontrol keamanan untuk setiap aplikasi web atau layanan web menyebabkan waktu terbuang dan lubang keamanan besar. Toolkit OWASP Enterprise Security API (ESAPI) membantu pengembang perangkat lunak berjaga-jaga terhadap kelemahan terkait desain dan implementasi yang terkait dengan keamanan.

Untuk detail lebih lanjut, lihat Mencegah Injeksi SQL di Java dan Lembar Cheat Pencegahan Injeksi SQL .

Berikan perhatian khusus pada Opsi Pertahanan 3: Melarikan Diri dari Semua Input yang Disediakan Pengguna yang memperkenalkan proyek OWASP ESAPI ).

(Ini sebagai jawaban atas komentar OP di bawah pertanyaan awal; Saya sepenuhnya setuju bahwa PreparedStatement adalah alat untuk pekerjaan ini, bukan regex.)

Ketika Anda mengatakan \n, apakah maksud Anda urutan \+ natau karakter linefeed yang sebenarnya? Jika itu \+ n, tugasnya cukup mudah:

s = s.replaceAll("['\"\\\\]", "\\\\$0");

Untuk mencocokkan satu garis miring terbalik di input, Anda menempatkan empat di string regex. Untuk memasukkan satu backslash ke dalam output, Anda memasukkan empat dari mereka ke dalam string pengganti. Ini dengan asumsi Anda membuat regex dan penggantian dalam bentuk literal Java String. Jika Anda membuatnya dengan cara lain (misalnya, dengan membacanya dari file), Anda tidak perlu melakukan semua itu dengan melarikan diri dua kali.

Jika Anda memiliki karakter linefeed di input dan Anda ingin menggantinya dengan urutan escape, Anda dapat membuat pass kedua melewati input dengan ini:

s = s.replaceAll("\n", "\\\\n");

Atau mungkin Anda ingin dua backslash (saya tidak terlalu jelas tentang itu):

s = s.replaceAll("\n", "\\\\\\\\n");

PreparedStatements adalah cara untuk melakukannya, tetapi tidak semua kasus. Terkadang Anda akan menemukan diri Anda dalam situasi di mana kueri, atau bagian dari itu, harus dibangun dan disimpan sebagai string untuk digunakan nanti. Lihat Lembar Cheat Pencegahan Injeksi SQL di Situs OWASP untuk detail lebih lanjut dan API dalam berbagai bahasa pemrograman.

Pernyataan yang Disiapkan adalah solusi terbaik, tetapi jika Anda benar-benar perlu melakukannya secara manual Anda juga bisa menggunakan StringEscapeUtilskelas dari perpustakaan Apache Commons-Lang. Ini memiliki escapeSql(String)metode, yang dapat Anda gunakan:

import org.apache.commons.lang.StringEscapeUtils; … String escapedSQL = StringEscapeUtils.escapeSql(unescapedSQL);

Menggunakan ekspresi reguler untuk menghapus teks yang dapat menyebabkan injeksi SQL terdengar seperti pernyataan SQL dikirim ke database melalui Statementbukan PreparedStatement.

Salah satu cara termudah untuk mencegah injeksi SQL di tempat pertama adalah dengan menggunakan PreparedStatement, yang menerima data untuk menggantikan pernyataan SQL menggunakan placeholder, yang tidak bergantung pada rangkaian string untuk membuat pernyataan SQL untuk dikirim ke database.

Untuk informasi lebih lanjut, Menggunakan Pernyataan Disiapkan dari Tutorial Java akan menjadi tempat yang baik untuk memulai.

Jika Anda berurusan dengan sistem lama, atau Anda memiliki terlalu banyak tempat untuk beralih PreparedStatementdalam waktu yang terlalu sedikit - yaitu jika ada kendala untuk menggunakan praktik terbaik yang disarankan oleh jawaban lain, Anda dapat mencoba AntiSQLFilter

Anda memerlukan kode berikut di bawah ini. Sekilas, ini mungkin terlihat seperti kode lama yang saya buat. Namun, yang saya lakukan adalah melihat kode sumber http://grepcode.com/file/repo1.maven.org/maven2/mysql/mysql-connector-java/5.1.31/com/mysql/jdbc/PreparedStatement. java . Kemudian setelah itu, saya hati-hati melihat melalui kode setString (int parameterIndex, String x) untuk menemukan karakter yang lolos dan mengkustomisasi ini ke kelas saya sendiri sehingga dapat digunakan untuk keperluan yang Anda butuhkan. Lagi pula, jika ini adalah daftar karakter yang lolos dari Oracle, maka mengetahui ini benar-benar menghibur dari segi keamanan. Mungkin Oracle membutuhkan dorongan untuk menambahkan metode yang mirip dengan yang ini untuk rilis utama Java berikutnya.

public class SQLInjectionEscaper {

    public static String escapeString(String x, boolean escapeDoubleQuotes) {
        StringBuilder sBuilder = new StringBuilder(x.length() * 11/10);

        int stringLength = x.length();

        for (int i = 0; i < stringLength; ++i) {
            char c = x.charAt(i);

            switch (c) {
            case 0: /* Must be escaped for 'mysql' */
                sBuilder.append('\\');
                sBuilder.append('0');

                break;

            case '\n': /* Must be escaped for logs */
                sBuilder.append('\\');
                sBuilder.append('n');

                break;

            case '\r':
                sBuilder.append('\\');
                sBuilder.append('r');

                break;

            case '\\':
                sBuilder.append('\\');
                sBuilder.append('\\');

                break;

            case '\'':
                sBuilder.append('\\');
                sBuilder.append('\'');

                break;

            case '"': /* Better safe than sorry */
                if (escapeDoubleQuotes) {
                    sBuilder.append('\\');
                }

                sBuilder.append('"');

                break;

            case '\032': /* This gives problems on Win32 */
                sBuilder.append('\\');
                sBuilder.append('Z');

                break;

            case '\u00a5':
            case '\u20a9':
                // escape characters interpreted as backslash by mysql
                // fall through

            default:
                sBuilder.append(c);
            }
        }

        return sBuilder.toString();
    }
}

Setelah mencari banyak pengujian solusi untuk mencegah sqlmap dari injeksi sql, dalam kasus sistem warisan yang tidak dapat menerapkan statments disiapkan di mana-mana.

topik java-security-cross-site-scripting-xss-dan-sql-injeksi ADALAH SOLUSI

saya mencoba solusi @Richard tetapi tidak berhasil dalam kasus saya. saya menggunakan filter

Tujuan filter ini adalah untuk membungkus permintaan menjadi pembungkus berkode sendiri, MyHttpRequestWrapper yang mengubah:

parameter HTTP dengan karakter khusus (<,>, ', ...) ke dalam kode HTML melalui metode org.springframework.web.util.HtmlUtils.htmlEscape (…). Catatan: Ada classe yang sama di Apache Commons: org.apache.commons.lang.StringEscapeUtils.escapeHtml (...) karakter injeksi SQL (', “,…) melalui Apache Commons classe org.apache.commons.lang.StringEscapeUtils. escapeSql (...)

<filter>
<filter-name>RequestWrappingFilter</filter-name>
<filter-class>com.huo.filter.RequestWrappingFilter</filter-class>
</filter>

<filter-mapping>
<filter-name>RequestWrappingFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>




package com.huo.filter;

import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletReponse;
import javax.servlet.http.HttpServletRequest;

public class RequestWrappingFilter implements Filter{

    public void doFilter(ServletRequest req, ServletReponse res, FilterChain chain) throws IOException, ServletException{
        chain.doFilter(new MyHttpRequestWrapper(req), res);
    }

    public void init(FilterConfig config) throws ServletException{
    }

    public void destroy() throws ServletException{
    }
}




package com.huo.filter;

import java.util.HashMap;
import java.util.Map;

import javax.servlet.ServletException;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;

import org.apache.commons.lang.StringEscapeUtils;

public class MyHttpRequestWrapper extends HttpServletRequestWrapper{
    private Map<String, String[]> escapedParametersValuesMap = new HashMap<String, String[]>();

    public MyHttpRequestWrapper(HttpServletRequest req){
        super(req);
    }

    @Override
    public String getParameter(String name){
        String[] escapedParameterValues = escapedParametersValuesMap.get(name);
        String escapedParameterValue = null; 
        if(escapedParameterValues!=null){
            escapedParameterValue = escapedParameterValues[0];
        }else{
            String parameterValue = super.getParameter(name);

            // HTML transformation characters
            escapedParameterValue = org.springframework.web.util.HtmlUtils.htmlEscape(parameterValue);

            // SQL injection characters
            escapedParameterValue = StringEscapeUtils.escapeSql(escapedParameterValue);

            escapedParametersValuesMap.put(name, new String[]{escapedParameterValue});
        }//end-else

        return escapedParameterValue;
    }

    @Override
    public String[] getParameterValues(String name){
        String[] escapedParameterValues = escapedParametersValuesMap.get(name);
        if(escapedParameterValues==null){
            String[] parametersValues = super.getParameterValues(name);
            escapedParameterValue = new String[parametersValues.length];

            // 
            for(int i=0; i<parametersValues.length; i++){
                String parameterValue = parametersValues[i];
                String escapedParameterValue = parameterValue;

                // HTML transformation characters
                escapedParameterValue = org.springframework.web.util.HtmlUtils.htmlEscape(parameterValue);

                // SQL injection characters
                escapedParameterValue = StringEscapeUtils.escapeSql(escapedParameterValue);

                escapedParameterValues[i] = escapedParameterValue;
            }//end-for

            escapedParametersValuesMap.put(name, escapedParameterValues);
        }//end-else

        return escapedParameterValues;
    }
}

Dari: [Sumber]

public String MysqlRealScapeString(String str){
  String data = null;
  if (str != null && str.length() > 0) {
    str = str.replace("\\", "\\\\");
    str = str.replace("'", "\\'");
    str = str.replace("\0", "\\0");
    str = str.replace("\n", "\\n");
    str = str.replace("\r", "\\r");
    str = str.replace("\"", "\\\"");
    str = str.replace("\\x1a", "\\Z");
    data = str;
  }
return data;

}

Jika Anda menggunakan PL / SQL, Anda juga dapat menggunakannya DBMS_ASSERT untuk membersihkan input Anda sehingga Anda dapat menggunakannya tanpa khawatir tentang suntikan SQL.

lihat jawaban ini misalnya: https://stackoverflow.com/a/21406499/1726419