小编点评

**标题：** 防止SQL注入攻击：技巧与解决方案 **引言：** 在当今的数字化时代，网络安全成为了企业和个人必须面对的重要问题。SQL注入作为一种常见的网络攻击手段，对数据库安全构成了严重威胁。为了提高网站的安全性，本文将介绍一种实用的SQL注入防范方案，并提供相应的代码示例。 **正文：** 一、SQL注入概述 SQL注入是一种危险的代码注入技术，攻击者通过在应用程序的输入字段中插入恶意SQL代码，从而对后端数据库进行非法操作。这些操作可能包括未经授权的数据查看、修改或删除，严重时甚至可能导致整个数据库系统的崩溃。 二、常见SQL注入手法 1. 基于注释的注入 2. 基于一般错误的注入 3. 基于时间的注入 4. 联合查询注入 5. 身份认证绕过 三、网站请求注入类型 1. 普通的GET请求 2. 表单POST提交 3. JSON格式POST提交 四、防SQL注入方案 1. 使用带参数的SQL语句 2. 使用存储过程 3. 反向代理穿反SQL注入外套 五、代码示例 1. 使用ToolGood.SQLFirewall 1. 在main方法中引入 nuget 包：`ToolGood.SQLFirewall` 2. 使用ServerHeader和MsSQL作为中间件： ``` app.UseSQLFirewall_ServerHeader("ToolGood"); app.UseSQLFirewall(SQLFirewallType.MsSQL); ``` 3. 使用URL白名单进行配置： ``` app.UseSQLFirewall(SQLFirewallType.MsSQL, "/Admins/Logs/Ajax/GetLoginList", "/Admins/User/Ajax/*"); ``` 2. 反向代理穿反SQL注入外套 1. 通过配置反向代理，将SQL注入攻击的请求直接转发到防SQL注入服务。 2. 保证服务端接口的安全性，防止攻击者利用服务端的漏洞进行注入攻击。 六、结语 通过采取上述措施，可以有效地防止SQL注入攻击，保护网站和数据库的安全。同时，定期对系统进行安全检查和更新，以及提高开发者的安全意识，也是防范SQL注入不可或缺的手段。 **参考资料：** - [ToolGood.SQLFirewall GitHub](https://github.com/toolgood/ToolGood.SQLFirewall) - [SQL注入攻击示例](https://github.com/payloadbox/sql-injection-payload-list) - [反向代理防SQL注入](https://github.com/toolgood/ToolGood.Navigation)

正文

现在公安有一个专门负责信息安全的部门，前几天公司就收到了一个整改通知，防sql注入的整改。

 

我们公司开始对网站进行了简单的测试，普通的sql都能检测出来。

但还是被发了整改通知，肯定有些sql注入的方法没测出来，于是我就开始查找了sql注入的手法。

sql注入主要有：基于注释、基于一般错误、基于时间、联合查询、身份认证绕过。

网站常用请求注入有三种：普通的GET请求、表单POST提交，json格式POST提交。

 

经几天的努力，将防sql功能做出来了，并且做成了一个中间件。

使用nuget ，项目引用 ToolGood.SQLFirewall

在main方法中使用
            app.UseSQLFirewall_ServerHeader("ToolGood"); //替换头信息，减少服务器信息
            app.UseSQLFirewall(SQLFirewallType.MsSQL);   //使用防sql注入

忽略部分url检测，代码如下
            app.UseSQLFirewall(SQLFirewallType.MsSQL, "/Admins/Logs/Ajax/GetLoginList", "/Admins/User/Ajax/*");

注：星号为通配符，放在路径最后一位有效。

 

代码：https://github.com/toolgood/ToolGood.SQLFirewall

参考：https://github.com/payloadbox/sql-injection-payload-list

====================================================================================================

防sql注入有两个简单的方法，使用带参数的sql语句和使用存储过程。

但老项目不一定按这个逻辑来，可使用参考反向代理，穿一件反sql注入外套。

代码：https://github.com/toolgood/ToolGood.SQLFirewall/tree/main/ToolGood.Navigation