JSP使用过滤器防止SQL注入的简单实现

站长资源 2024/11/23 佚名

2 0 1

什么是SQL注入攻击？引用百度百科的解释：

sql注入_百度百科：

所谓SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。具体来说，它是利用现有应用程序，将（恶意）的SQL命令注入到后台数据库引擎执行的能力，它可以通过在Web表单中输入（恶意）SQL语句得到一个存在安全漏洞的网站上的数据库，而不是按照设计者意图去执行SQL语句。[1] 比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．

SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，其主要原因是程序没有细致地过滤用户输入的数据，致使非法数据侵入系统。

filter功能：

它使用户可以改变一个 request和修改一个response. Filter 不是一个servlet,它不能产生一个response,它能够

在一个request到达servlet之前预处理request,也可以在离开 servlet时处理response.

换种说法,filter其实是一个”servlet chaining”(servlet 链). 所以用户发出的任何request都必然经过filter处理，我们就在filter处理用户request包含的敏感关键字，然后replace掉或是让页面转到错误页来提示用户，这样就可以很好的防sql注入了。

具体实现代码：

/YourProject/src/com/SqlFilter.java

package com;
import java.io.IOException; 
import java.util.Enumeration; 
import javax.servlet.Filter; 
import javax.servlet.FilterChain; 
import javax.servlet.FilterConfig; 
import javax.servlet.ServletException; 
import javax.servlet.ServletRequest; 
import javax.servlet.ServletResponse; 
import javax.servlet.http.HttpServletRequest; 
import javax.servlet.http.HttpServletResponse; 
 
//过滤sql关键字的Filter 
public class SqlFilter implements Filter { 
 
  public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { 
 
    HttpServletRequest req = (HttpServletRequest) request; 
    HttpServletResponse res = (HttpServletResponse) response; 
    //获得所有请求参数名 
    Enumeration params = req.getParameterNames(); 
 
    String sql = ""; 
    while (params.hasMoreElements()) { 
      //得到参数名 
      String name = params.nextElement().toString(); 
      //System.out.println("name===========================" + name + "--"); 
      //得到参数对应值 
      String[] value = req.getParameterValues(name); 
      for (int i = 0; i < value.length; i++) { 
        sql = sql + value[i]; 
      } 
    } 
    System.out.println("被匹配字符串："+sql); 
    if (sqlValidate(sql)) { 
      res.sendRedirect("error.jsp");  
    } else { 
      chain.doFilter(req, res); 
    } 
  } 
 
  //校验
  protected static boolean sqlValidate(String str) { 
    str = str.toLowerCase();//统一转为小写
    //String badStr = "and|exec";
    String badStr = "'|and|exec|execute|insert|select|delete|update|count|drop|chr|mid|master|truncate|char|declare|sitename|net user|xp_cmdshell|or|like"; 
    /*String badStr = "'|and|exec|execute|insert|create|drop|table|from|grant|use|group_concat|column_name|" + 
        "information_schema.columns|table_schema|union|where|select|delete|update|order|by|count|*|" + 
        "chr|mid|master|truncate|char|declare|or|;|-|--|+|,|like|//|/|%|#";  */  //过滤掉的sql关键字，可以手动添加 
    String[] badStrs = badStr.split("\\|"); 
    for (int i = 0; i < badStrs.length; i++) {
      if (str.indexOf(badStrs[i]) !=-1) { 
        System.out.println("匹配到："+badStrs[i]);
        return true; 
      } 
    } 
    return false; 
  } 
 
  public void init(FilterConfig filterConfig) throws ServletException { 
    //throw new UnsupportedOperationException("Not supported yet."); 
  } 
 
  public void destroy() { 
    //throw new UnsupportedOperationException("Not supported yet."); 
  } 
}

注意上面第50行如果用“|”作为分隔的话,必须是如下写法：String.split("\\|")，这样才能正确的分隔开,不能用String.split("|");

/YourProject/WebContent/WEB-INF/web.xml（在web.xml中过滤器添加过滤器配置）：

<!-- sql Filter -->
   <filter>
    <filter-name>SqlFilter</filter-name>
    <filter-class>com.SqlFilter</filter-class>
  </filter>
  <filter-mapping>
    <filter-name>SqlFilter</filter-name>
    <url-pattern>/*</url-pattern>
  </filter-mapping>

/YourProject/WebContent/error.jsp（检测到sql关键词跳转到的页面）：

<%@ page language="java" contentType="text/html; charset=utf-8"
  pageEncoding="utf-8"%>
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<title>error</title>
</head>
<body>
<div align="center">
<br>
<h4>非法输入</h4>
<p><input type="button" name="back" value="返回" onclick="javascript:history.go(-1);"/>
</div>
</body>
</html>

将上面的过滤器加入到自己的项目中可以简单地防止SQL注入，严格防止注入还需采取更有效的措施。

同理，我们也可以使用过滤器实现敏感词的屏蔽功能，用法和防止SQL注入类似，自行探索！

我是分割线

-----------------------------------------

更多防范SQL注入的措施：

1.对输入进行严格的限制和过滤

2.对一些应用如数据库的连接进行有效的IP限定

3.尽可能减少CGI程序中的系统调用

4.使用web扫描器预先扫描系统

5.下载SQL通用防注入系统的程序，在需要防范注入的页面头部用<!--# include file=”xxx.asp”-- >来防止别人进行手动注入测试（针对asp网页）

6.设置陷阱账号：设置两个帐号，一个是普通管理员帐号，一个是防注入的帐号。将防注入的账号设置的很象管理员，如 admin，以制造假象吸引软件的检测，而密码是大于千字以上的中文字符，迫使软件分析账号的时候进入全负荷状态甚至资源耗尽而死机。

以上这篇JSP使用过滤器防止SQL注入的简单实现就是小编分享给大家的全部内容了，希望能给大家一个参考，也希望大家多多支持。

jsp防止sql注入

广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！

评论“JSP使用过滤器防止SQL注入的简单实现”

暂无评论...

www.wwsws.com 伏龙阁资源网

39,976影音资源

44,792技术资源

21,817软件资源

651,128站长资源

JSP使用过滤器防止SQL注入的简单实现

解决cannot be cast to javax.servlet.Filter 报错的问题

基于JSP的RSS阅读器的设计与实现方法(推荐)

评论“JSP使用过滤器防止SQL注入的简单实现”

RTX 5090要首发性能要翻倍！三星展示GDDR7显存

更新日志

友情链接

JSP使用过滤器防止SQL注入的简单实现

解决cannot be cast to javax.servlet.Filter 报错的问题

基于JSP的RSS阅读器的设计与实现方法(推荐)

评论“JSP使用过滤器防止SQL注入的简单实现”

RTX 5090要首发 性能要翻倍！三星展示GDDR7显存

更新日志

友情链接

RTX 5090要首发性能要翻倍！三星展示GDDR7显存