SQL注入是最常见和最基本的网络攻击类型之一。不幸的是，SQL注入也是应用程序可能面临的最具破坏性的威胁之一。这些攻击经常导致数据丢失，对共享数据库的基础设施尤其危险。本文介绍了如何防止SQL注入。请继续阅读以了解什么是SQL注入、这些攻击的工作原理以及公司采取哪些步骤来保护其数据库免受恶意注入。

什么是SQL注入攻击？

SQL注入(SQLi)是一种网络攻击，黑客通过应用程序运行恶意SQL语句来操纵数据库。这些攻击会影响任何依赖SQL数据库（MySQL、Oracle、Sybase、MicrosoftSQLServer、Access、Ingres等）的网站或Web应用程序。

我们的MySQL命令备忘单概述了掌握此RDBMS所需的最重要命令。

SQLi的后果从轻微到严重不等。在注入之后，黑客可以：

伤害的程度取决于攻击者的能力。受害者可能会遇到从几个数据库错误到完全接管Web服务器的任何事情。

如何防止SQL注入攻击？

企业可以采取多种有效措施来防止SQLi攻击。

消毒输入

输入清理（或验证）是检查和过滤用户输入的做法。这种技术确保应用程序可以识别非法用户输入和危险的可执行文件。

开发人员可以通过三种方式清理输入：

通常，白名单比黑名单更简单、更安全。聪明的黑客可以找到绕过黑名单的方法，因此请尽可能使用白名单验证用户输入。

另一个好的做法是使用下拉菜单和单选按钮验证用户输入。这些输入字段可防止用户输入输入并停止注入可执行代码。

参数化SQL代码

参数化查询要求开发人员首先定义所有SQL代码，然后将每个参数传递给查询。这种编码风格使数据库能够区分代码和数据，这是动态SQL查询无法实现的功能。

参数化SQL代码可防止攻击者更改查询的意图，即使他们插入了命令。例如，如果黑客输入用户ID'1'='1，则查询将查找与整个'1'='1字符串匹配的用户名。数据库不会将查询作为命令接受。

限制用户权限

例如，如果一个网站只返回数据库内容与SELECT声明，不授予连接其他特权，比如INSERT，UPDATE或者DELETE。

另一个好的做法是不信任所有用户输入。以与来自外部和第三方来源的输入相同的方式处理来自内部用户的输入。此外，永远不要让Web应用程序以管理员权限连接到数据库。

设置防火墙

使用Web应用程序防火墙(WAF)过滤Web应用程序和数据库之间的所有流量。防火墙保护所有面向Web的应用程序，因此设置防御以阻止SQLi和类似的网络攻击。

定期测试

运行安全测试以检查数据库和相关应用程序的弹性。定期测试对于发现所有网络攻击的漏洞至关重要。考虑运行：

加密数据库中的所有私人和机密数据。如果攻击者设法泄露敏感数据，加密还提供了额外的保护级别。

不向用户显示数据库错误

数据库错误消息绝不能显示在客户端Web浏览器上。攻击者可以使用错误消息中的技术细节来调整查询以实现成功注入。

不要显示带有有用信息的错误消息，而是设置简单的基于单词的错误消息，为给您带来的不便表示歉意。

培训和维护SQLi意识

防止SQL注入是一项团队工作，所有员工都必须知道网络安全的重要性。为所有开发人员、QA人员、系统管理员和DevOps提供合适的安全培训。

虽然很危险，但SQLi攻击很容易预防

尽管SQL注入可能具有破坏性，但组织良好的公司永远不应成为这些攻击的受害者。设置适当的预防措施并确保您的数据库能够抵抗SQL注入。