Java代码审计连载之—SQL注入

本文原创作者：黑客小平哥，本文属i春秋原创奖励计划，未经许可禁止转载！

前言

近日闲来无事，快两年都没怎么写代码了，打算写几行代码，做代码审计一年了，每天看代码都好几万行，突然发现自己都不会写代码了，真是很DT。想当初入门代码审计的时候真是非常难，网上几乎找不到什么java审计的资料，摸索了很长时间，搜到的也仅仅讲了点原理，为了给想学java代码审计的朋友门一点入门资料，就开始写《java代码审计连载》系列文章，本文章适合初学者，大牛留下脚印后请绕过，若代码有什么其他问题请忽略，因为那不是重点，此片只讲述SQL注入。本次写了两个简单的页面，一个登陆页面，一个查询id界面，如下：

废话不多说，开始！

SQL注入原理

先看下百度百科对SQL注入的介绍：

所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意的）SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。

SQL注入的表现形式

原理说的很正式，但是对初学者来说很笼统，对代码审计的来说也是不怎么明白。你那么总结起来，SQL注入在代码中体现的有以下3点：

1、传递的参数为用户可控；

什么叫参数为用户可控？其实前端传入的一切参数均为用户可控，包括：

这里的一切数据，参数传入后台后，接收的形式是什么样的呢？代码如下

request.getParameter("searchWord")是从前端获取参数的一种方式（当然还有其他方式，此处不赘述），而从前端获取的参数名为“searchWord”，也就是此处jsp页面中input标签中的id为“searchWord”的值，如下：

因此“searchWord”就是前端我们输入的“id”值。

2.系统未对传入后台的参数做任何特殊字符过滤，或者字符过滤不全。

什么是特殊字符，对SQL注入而言，特殊字符包括（注意大小写）：

--,#,//(注释符)

and

or

select

update

delete

drop

declare

insert

xp_shell

（，）括号

||,+, （空格）连接符

' 单引号

|（竖线符号）

& （& 符号）

;（分号）

$（美元符号）

%（百分比符号）

@（at 符号）

'（单引号）

"（引号）

\'（反斜杠转义单引号）

\"（反斜杠转义引号）

<>（尖括号）

CR（回车符，ASCII 0x0d）

LF（换行，ASCII 0x0a）

,（逗号）

\（反斜杠）