在 Java ESAPI 中编码

Question

为了防止SQL注入，OWASP对接收到的字符进行编码。下面是为org.owasp.esapi.codecs.OracleCodec.java类实现的代码

 //Default implementation that should be overridden in specific codecs. Encodes ' to '' Encodes ' to '' (according to doc)


 public String encodeCharacter( char[] immune, Character c ) {
    if ( c.charValue() == '\'' )
        return "\'\'";
    return ""+c;
}

以上对预防SQL注入有什么帮助？请解释一下。

Answer 1

这里很好的解释了oracle和其他DBMS:https://www . owasp . org/index . PHP/SQL _ Injection _ Prevention _ Cheat _ Sheet

但是防止SQL注入的规则n.1不是使用查询连接，而是使用准备好的语句！使用准备好的语句，不需要编码任何参数（由sql api设置），也有数据库性能优化。

Answer 2

使用OWASP的指南，可以在这里找到多个测试用例。

您在这里看到的代码片段可以防止有人试图逃脱查询来运行他们自己的任意命令。

if ( c.charValue() == '\'' )

如果输入值等于ASCII char值0x27（单引号）

return "\'\'";

转义单引号。

神谕逃亡就在这里。

假设您的查询是“从用户中选择 *，其中 id = \'” request.getParameter（“id”）

通过不转义单引号，这样的输入：

request.setParameter（“id”， “\' OR 1=1;”）;通过将最终的非 Java 格式查询更改为从 id = '' OR 1=1 的用户中选择 *，将导致返回该表中的所有信息;

我强烈建议您下载WebGoat程序，并遵循其课程。它将教您如何使用SQL注入以及许多其他基本的Web攻击。ESAPI 秋千集将帮助您学习如何缓解它们。