久久久国产精品,成人无码精品1区2区3区免费看,日韩男人天堂,午夜77777

       大家都知道數(shù)據(jù)庫是所有系統(tǒng)中最核心的地方，數(shù)據(jù)庫的安全才是整個(gè)系統(tǒng)的安全，那么在數(shù)據(jù)庫設(shè)置時(shí)該怎樣編寫才能避免疏漏呢？今天我們河南北大青鳥中心就來給大家例舉下SQL語句編寫不當(dāng)可能導(dǎo)致的系統(tǒng)安全隱患！

       在一般的多用戶應(yīng)用系統(tǒng)中,只有擁有正確的用戶名和密碼的用戶才能進(jìn)入該系統(tǒng).我們通常需要編寫用戶登錄窗口來控制用戶使用該系統(tǒng),這里以Visual Basic ADO為例：

　　一、漏洞的產(chǎn)生

　　用于登錄的表
  　Users(name,pwd)
　　建立一個(gè)窗體Frmlogin,其上有兩個(gè)文本框Text1,Text2和兩個(gè)命令按鈕cmdok,cmdexit.兩個(gè)文本框分別用于讓用戶輸入用戶名和密碼,兩個(gè)命令按鈕用于“登錄”和“退出”.

　　1、定義Ado Connection對(duì)象和ADO RecordSet對(duì)象：
　　Option Explicit
　　Dim Adocon As ADODB.Connection
　　Dim Adors As ADODB.Recordset

　　2、在Form_Load中進(jìn)行數(shù)據(jù)庫連接：
　　Set Adocon = New ADODB.Connection
　　Adocon.CursorLocation = adUseClient
　　adocon.Open "Provider=Microsoft.jet.OLeDB.4.0.1;Data Source=" amp;amp; _
　　App.Path amp;amp; " est.mdb;"
　　cmdok中的代碼
　　Dim sqlstr As String
　　sqlstr = "select * from usersswheresname='" amp;amp; Text1.Text amp;amp; _
　　"' and pwd='" amp;amp; Text2.Text amp;amp; "'"
　　Set adors = New ADODB.Recordset
　　Set Adors=Adocon.Execute(sqlstr)
　　If Adors.Recordcount>0 Then //或If Not Adors.EOF then
　　....
　　MsgBox "Pass" //通過驗(yàn)證
　　Else
　　...
　　MsgBox "Fail" //未通過驗(yàn)證
　　End if　 　
　　運(yùn)行該程序,看起來這樣做沒有什么問題,但是當(dāng)在Text1中輸入任意字符串(如123),在Text2中輸入a' or 'a'='a時(shí),我們來看sqlstr此時(shí)的值：
　　select * from usersswheresname='123' and pwd='a' or 'a'='a'
　　執(zhí)行這樣一個(gè)SQL語句,or之后的'a'='a'為真值,只要users表中有記錄,則它的返回的eof值一定為False,這樣就輕易地繞過了系統(tǒng)對(duì)于用戶和密碼的驗(yàn)證.
　　這樣的問題將會(huì)出現(xiàn)在所有使用select * from usersswheresname='" amp;amp; name amp;amp; "' and pwd='" amp;amp; password amp;amp;"'的各種系統(tǒng)中,無論你是使用那種編程語言.

　　二、漏洞的特點(diǎn)
　　在網(wǎng)絡(luò)上,以上問題尤其明顯,筆者在許多網(wǎng)站中都發(fā)現(xiàn)能使用這種方式進(jìn)入需要進(jìn)行用戶名和密碼驗(yàn)證的系統(tǒng).這樣的一個(gè)SQL漏洞具有如下的特點(diǎn)：

　　1、與編程語言或技術(shù)無關(guān)
  　無論是使用VB、Delphi還是ASP、JSP.
　　2、隱蔽性
　　現(xiàn)有的系統(tǒng)中有相當(dāng)一部分存在著這個(gè)漏洞,不易覺察.
　　3、危害性
　　不需要進(jìn)行用戶名或密碼的猜測(cè)即可輕易進(jìn)入系統(tǒng).

　　三、解決漏洞的方法
　　1、控制密碼中不能出現(xiàn)空格.
　　2、對(duì)密碼采用加密方式.
　　這里要提及一點(diǎn),加密不能采用過于簡(jiǎn)單的算法,過于簡(jiǎn)單的算法會(huì)讓人能夠構(gòu)造出形如a' or 'a'='a的密文,從而進(jìn)入系統(tǒng).
　　3、將用戶驗(yàn)證和密碼驗(yàn)證分開來做,先進(jìn)行用戶驗(yàn)證,如果用戶存在,再進(jìn)行密碼驗(yàn)證,這樣一來也能解決問題.

這些都是基本的安全知識(shí)，更多數(shù)據(jù)庫技術(shù)分享請(qǐng)鏈接：http:///sjk/