Java安全編碼之SQL注入

隨著互聯網的發展，Java語言在金融服務業、電子商務、大數據技術等方面的應用極其廣泛。Java安全編碼規范早已成為SDL中不可或缺的一部分。本文以Java項目廣泛采用的兩個框架Hibernate和MyBatis 為例來介紹，如何在編碼過程中避免SQL注入的幾種編碼方法，包括對預編譯的深度解析，以及對預編譯理解的幾個“誤區”進行了解釋。

備注，本文是Java語言安全編碼會是系列文章的第一篇。

1. 框架介紹

目前Hibernate和MyBatis為java項目廣泛采用的兩個框架。由于Hibernate使用方便，以前的項目采用Hibernate非常的廣泛，但是后面由于Hibernate的侵入式特性，后面慢慢被MyBatis所取代 。下面我們會以SpringBoot為基礎，分別搭建Hibernate和MyBatis的漏洞環境。

2. 配置說明

SpringBoot采用2.3.1.RELEASE，MySQL版本為5.7.20。數據庫有一張表user_tbl。數據如下：

3. Hibernate

Hibernate 是一個開放源代碼的對象關系映射框架，它對 JDBC 進行了非常輕量級的對象封裝，是一個全自動的 ORM 框架。Hibernate 自動生成 SQL 語句，自動執行。

(1) 環境搭建

結構如下，ctl為控制層，service為服務層，dao為持久層。為了方便沒有按照標準的接口實現，我們只關注漏洞的部分。

Beans下User.java對用為user_tbl表結構。

我們使用/inject 接口,p為接受外部的參數，來查詢User的列表，使用fastjson來格化式輸出。

我們回到dao層。

1)SQL注入

SQL注入我們使用字符串拼接方式：

訪問http://localhost:8080/inject?p=m 直接用SQLMap跑一下：

很容易就注入出數據來了。

2)HQL注入

HQL(Hibernate Query Language)是Hibernate專門用于查詢數據的語句，有別于SQL，HQL 更接近于面向對象的思維方式。表名就是對應我們上面的entity配置的。HQL注入利用比SQL注入利用難度大，比如一般程序員不會對系統表進行映射，那么通過系統表獲取屬性的幾乎不可能的，同時由于HQL對于復雜的語句支持比較差，對攻擊者來說需要花費更多時間去構造可用的payload，更多詳細的語法可以參考：

https://docs.huihoo.com/Hibernate/reference-v3_zh-cn/queryhql.html

3)預編譯

我們使用setParameter的方式，也就是我們熟知的預編譯的方式。

1. Query query = (Query) this.entityManager.createQuery("from User u where u.userName like :userName ",User.class);  
2. query.setParameter("userName","%"+username+"%"); 

訪問http://localhost:8080/inject?p=m后得到正常結果。

執行注入語句：

http://localhost:8080/inject?p=m’ or ‘1’ like ‘1 返回為空。

我們來看看setParameter的方式到底對我們的SQL語句做了什么。我們將斷點打至Loader.class的bindPreparedStatement。發現通過預編譯后，SQL變為了：

1. select user0_.id as id1_0_, user0_.password as password2_0_, user0_.username as username3_0_ from user_tbl user0_ where user0_.username like '%'' or ''1'' like ''1%'， 

然后交給hikari處理。發現將我們的單引號變成了兩個單引號，也就是說把傳入的數據變為字符串。

將斷點斷至mysql-connector-java(也就是我們熟知的JDBC驅動包)的ClientPreparedQueryBindings.setString.這里就是參數設置的地方。

看一下算法：

1. String parameterAsString = x; 
2.  
3.             boolean needsQuoted = true; 
4.  
5.             if (this.isLoadDataQuery || this.isEscapeNeededForString(x, stringLength)) { 
6.  
7.                 needsQuoted = false; 
8.  
9.                 StringBuilder buf = new StringBuilder((int)((double)x.length() * 1.1D)); 
10.  
11.                 buf.append('\''); 
12.  
13.                 for(int i = 0; i < stringLength; ++i) { 
14.  
15.                     char c = x.charAt(i); 
16.  
17.                     switch(c) { 
18.  
19.                     case '\u0000': 
20.  
21.                         buf.append('\\'); 
22.  
23.                         buf.append('0'); 
24.  
25.                         break; 
26.  
27.                     case '\n': 
28.  
29.                         buf.append('\\'); 
30.  
31.                         buf.append('n'); 
32.  
33.                         break; 
34.  
35.                     case '\r': 
36.  
37.                         buf.append('\\'); 
38.  
39.                         buf.append('r'); 
40.  
41.                         break; 
42.  
43.                     case '\u001a': 
44.  
45.                         buf.append('\\'); 
46.  
47.                         buf.append('Z'); 
48.  
49.                         break; 
50.  
51.                     case '"': 
52.  
53.                         if (this.session.getServerSession().useAnsiQuotedIdentifiers()) { 
54.  
55.                             buf.append('\\'); 
56.  
57.                         } 
58.  
59.                         buf.append('"'); 
60.  
61.                         break; 
62.  
63.                     case '\'': 
64.  
65.                         buf.append('\''); 
66.  
67.                         buf.append('\''); 
68.  
69.                         break; 
70.  
71.                     case '\\': 
72.  
73.                         buf.append('\\'); 
74.  
75.                         buf.append('\\'); 
76.  
77.                         break; 
78.  
79.                     case '¥': 
80.  
81.                     case '?': 
82.  
83.                         if (this.charsetEncoder != null) { 
84.  
85.                             CharBuffer cbuf = CharBuffer.allocate(1); 
86.  
87.                             ByteBuffer bbuf = ByteBuffer.allocate(1); 
88.  
89.                             cbuf.put(c); 
90.  
91.                             cbuf.position(0); 
92.  
93.                             this.charsetEncoder.encode(cbuf, bbuf, true); 
94.  
95.                             if (bbuf.get(0) == 92) { 
96.  
97.                                 buf.append('\\'); 
98.  
99.                             } 
100.  
101.                         } 
102.  
103.                         buf.append(c); 
104.  
105.                         break; 
106.  
107.                     default: 
108.  
109.                         buf.append(c); 
110.  
111.                     } 
112.  
113.                 } 
114.  
115.                 buf.append('\''); 

可以看到mysql-connector-java主要是將將我們’轉為了’’,對于轉義的\會變為\\,比如對于這種SQL：

1. SELECT user0_.id AS id1_0_,user0_. PASSWORD AS password2_0_,user0_.username AS username3_0_ 
2.  
3. FROM user_tbl user0_ WHERE user0_.username LIKE '%\' or username = 0x6d #%' 

也會變為：

1. SELECT user0_.id AS id1_0_,user0_. PASSWORD AS password2_0_,user0_.username AS username3_0_ 
2.  
3. FROM user_tbl user0_ WHERE user0_.username LIKE '%\\'' or username = 0x6d #%' 

有人會說那我們使用select * from user_tbl where id = 1 and user() = 0x726f6f74406c6f63616c686f7374 這種類似的語句，全程沒有jdbc里面的危險字符是不是就可以繞過了?mysql-connector-java里面有個非常巧妙的點是，他會根據你傳入的類型判斷。比如傳入的為int類型。就會走setInt。傳入的為string就會走setString。所以這段語句還是會被select * from user_tbl where id = 1 ‘and user() = 0x726f6f74406c6f63616c686f7374’

我們看到SQL預編譯的算法也是非常簡單。

4. MyBatis

MyBatis是一流的持久性框架，支持自定義SQL，存儲過程和高級映射。MyBatis可以使用簡單的XML或注釋進行配置?，F在目前國內大部分公司都是采用的MyBatis框架。

(1) 環境搭建：

下面為我們項目目錄結構：

(2) 使用#{}的方式

#{}也就是我們熟知的預編譯方式。

訪問http://localhost:8080/getList?p=m 后正常的返回：

使用http://localhost:8080/getList?p=m' or ‘1’ like ‘1

結果返回為空。不存在注入。

我們將斷點斷在PreparedStatementLogger的invoke方法上面，其實這里就是一個代理方法。這里我們看到完整的SQL語句。

同樣我們將斷點斷在：ClientPreparedQueryBindings.setString同樣會進去

Hibernate和MyBatis的預編譯機制是一樣的。

(3) 使用${}的方式

${}的方式也就是MyBatis的字符串連接方式。

使用SQLMap很容易就能跑出數據：

(4) 關于OrderBy

之前有聽人說Order By后面的語句是不會參與預編譯?這句話是錯誤的。Order By也是會參與預編譯的。從我們上面的jdbc的setString算法可以看到，是因為setString會在參數的前后加上’’，變成字符串。導致Order By失去了原本的意義。只能說是預編譯方式的Order By不適用而已。所以對于這種Order By的防御的話建議是直接寫死在代碼里面。對于Order By方式的注入我們可以通過返回數據的順序的不同來獲取數據。

(5) 關于useServerPrepStmts

其實在只有JDBC在開啟了useServerPrepStmts=true的情況下才算是真正的預編譯。但是如果是字符串的拼接方式，預編譯是沒有效果的。從MySQL的查詢日志就可以開看到?？梢钥吹絇repare的語句。一樣是存在SQL注入的。

我們使用占位符的方式：

上面的語句就不存在SQL注入了。

我想這就是JDBC默認為啥不開啟useServerPrepStmts=true的原因吧。

5. 總結

在能使用預編譯的情況下我們應該要使用預編譯。在不能使用預編譯的情況下，可以對特定類型做規范，比如傳數字的需要規范為Integer,Long等。這樣會在進入數據庫前會提前拋出異常?；蛘呤褂肧pring的AOP機制，添加一個前置的fitler，對有害的字符清洗或者過濾。但是這樣有點籠統，會對全局參數進行清洗。

還有一種比較好的方式是，通過注解的方式，這樣會比較方便，可復用性也很好。對不能進行預編譯的參數加上過濾有害字符的注解。我們就不在這里做代碼的實現，網上有很多可以參考的教程?？梢允褂肁pache Jakarta Commons提供的很多方便的方法來過濾有害字符。