不當編寫SQL語句導致系統不安全 (轉)

不當編寫SQL語句導致系統不安全 (轉)[@more@]源於正確
不當編寫語句導致不安全
丁國勇

　　在一般的多應用系統中，只有擁有正確的使用者名稱和密碼的使用者才能進入該系統。我們通常需要編寫使用者登入視窗來控制使用者使用該系統，這裡以+ADO為例：


　　一、的產生


　　用於登入的表

　　Users(name,pwd)

　　建立一個窗體Frmlogin，其上有兩個文字框Text1，Text2和兩個命令按鈕cmdok，cmdexit。兩個文字框分別用於讓使用者輸入使用者名稱和密碼，兩個命令按鈕用於“登入”和“退出”。

　　1、定義Ado Connection和ADO RecordSet物件：

　　Option Explicit

　　Dim Adocon As ADO.Connection

　　Dim Adors As ADODB.Recordset

　　2、在Form_Load中進行連線：

　　Set Adocon = New ADODB.Connection

　　Adocon.CursorLocation = adUseClient

　　adocon.Open "Provr=.jet.OLeDB.4.0.1;Data =" && _

　　App.Path && "test.mdb;"

　　cmdok中的程式碼

　　Dim sqlstr As String

　　sqlstr = " * from users where name='" && Text1.Text && _

　　"' and pwd='" && Text2.Text && "'"

　　Set adors = New ADODB.Recordset

　　Set Adors=Adocon.Execute(sqlstr)

　　If Adors.Recordcount>0 Then //或 If Not Adors.EOF then

　　....

　　MsgBox "Pass" //透過驗證

　　Else

　　...

　　MsgBox "Fail" //未透過驗證

　　End if

　　執行該，看起來這樣做沒有什麼問題，但是當在Text1中輸入任意字串（如123），在Text2中輸入a' or 'a'='a時，我們來看sqlstr此時的值：

　　select * from users where name='123' and pwd='a' or 'a'='a'

　　這樣一個SQL語句，由於or 之後的'a'='a'為真值，只要users表中有記錄，則它的返回的 eof值一定為False,這樣就輕易地繞過了系統對於使用者和密碼的驗證。

　　這樣的問題將會出現在所有使用select * from users where name='" && name && "' and pwd='" && pass &&"'的各種系統中，無論你是使用那種語言。


　　二、漏洞的特點


　　在上，以上問題尤其明顯，筆者在許多網站中都發現能使用這種方式進入需要進行使用者名稱和密碼驗證的系統。這樣的一個SQL漏洞具有如下的特點：

　　1、與程式語言或技術無關

　　無論是使用VB、還是、。

　　2、隱蔽性

　　現有的系統中有相當一部分存在著這個漏洞，而且不易覺察。

　　3、危害性

　　不需要進行使用者名稱或密碼的猜測即可輕易進入系統。


　　三、解決漏洞的方法


　　1、控制密碼中不能出現空格。

　　2、對密碼採用方式。

　　這裡要提及一點，加密不能採用過於簡單的演算法，因為過於簡單的演算法會讓人能夠構造出形如a' or 'a'='a的密文，從而進入系統。

　　3、將使用者驗證和密碼驗證分開來做，先進行使用者驗證，如果使用者存在，再進行密碼驗證，這樣一來也能解決問題。


(發表於中國教育報2002年第7期)