Oracle JSP注入攻击与防御研究（oracle jsp注入）

Oracle JSP注入攻击与防御研究

随着互联网的快速发展，信息安全和网络安全问题受到越来越多的关注。其中，数据库安全一直是互联网安全领域中的一大重点。而其中，JSP注入攻击是数据库安全领域中的一个常见问题。本文将对JSP注入攻击进行深入研究，并探讨相关的防御措施。

JSP注入攻击是指攻击者在JSP程序当中存在安全漏洞的表单或输入框等地方，通过提交特定的恶意代码，将恶意代码注入到JSP页面当中，从而达到对数据库进行攻击的目的。这种攻击方式很难被防范，因为攻击者可以通过伪造POST或GET请求等方式来欺骗服务器，从而获得攻击成功的机会。

下面我们以例子来说明JSP注入攻击的主要问题：

以下是一个用于查询用户信息的JSP页面：

<%
String username=request.getParameter("username");
String password=request.getParameter("password");
Class.forName("oracle.jdbc.driver.OracleDriver");
Connection con=DriverManager.getConnection("jdbc:oracle:thin:@localhost:1521:ORCL","test","test");//连接数据库
String sql="select * from user where username='"+username+"' and password='"+password+"'";//拼接SQL语句
PreparedStatement ps=con.prepareStatement(sql);
ResultSet rs=ps.executeQuery();
while(rs.next()){
%>





<%
}
%>

在上述JSP页面中，用户通过输入用户名和密码，JSP程序会将其拼接成SQL语句来查询数据库中的用户信息。很多开发者会倾向于使用拼接SQL语句的方式来查询数据库。但这种方式存在很大的安全隐患，攻击者可以通过输入一些特定的恶意代码，从而实现对数据库的攻击。

以下是一个用于恶意攻击的输入：

' or '1=1

此时JSP程序会将其拼接成如下SQL语句：

select * from user where username='' or '1=1' and password='' or '1=1'

攻击者在这个SQL语句中，使用了OR语句来使得上述查询条件永远成立，从而可以查询到数据库中的所有记录，甚至进行修改或删除操作。

为了防范这种类型的JSP注入攻击，我们需要采取以下防御措施：

1. 防止恶意输入：对于用户输入的数据，需要进行过滤，将一些特殊符号进行转义或删除。例如删除单引号、反斜杠、预编译防止SQL注入等等。

// 异常防御，反斜杠的原因，预防SQL注入
username = StringEscapeUtils.escapeSql(request.getParameter("username"));
password = StringEscapeUtils.escapeSql(request.getParameter("password"));
// 进一步确保输入只包含预期的字符，可以考虑采用 Whitelist 进 行过滤。
Filter[] filters = new Filter[]{
        new PatternFilter( ScriptUtil.regex ),
        new PatternFilter( ExpressionUtil.regex ),
        new PatternFilter( XMLUtil.CDATA ),
        new PatternFilter( HTMLUtil.TAG ),
        new PatternFilter( HTMLUtil.ATTR ),
        new PatternFilter( HTMLUtil.ENTITY ),
        new PatternFilter( HTMLUtil.ESCAPE )
};
user = SafesUtil.filter(user, false, filters);
password = SafesUtil.filter(password, false, filters);

2. 合理的验证：对用户输入的数据，进行完整性验证，确保其符合预期。例如对密码强度的要求、长度要求等等。

3. 尽量使用预编译SQL语句：避免使用拼接SQL语句的方式。尽可能将SQL语句预编译，并使用？进行占位符。

String sql = "select * from user where username=? and password=?";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setString(1, username);
ps.setString(2, password);

4. 数据库用户权限的划分：限制数据库用户的权限，避免出现将错误的SQL语句发送到数据库中的情况。

通过以上措施，可以有效地防御JSP注入攻击。当然，在实际开发中，我们还需要根据项目的实际情况，综合考虑各种因素，综合运用多种防御措施来达到最好的安全效果。

参考文献：

1. JavaEE企业级开发实战（第2版）

2. 从一道 Java Web 上手 SQL 注入攻击

3. Java 防注入安全框架，十三府运动院.JavaSecurityFramework