java - 错误代码 : Why is this dangerous?

Question

这个问题在这里已经有了答案:

关闭 12年前.

Possible Duplicate:
Can I protect against SQL Injection by escaping single-quote and surrounding user input with single-quotes?

     String badInput = rawInput.replace("'","''");
     ResultSet rs = statement.executeQuery("SELECT * FROM records WHERE col1 = '"+badInput+"'";

有什么方法可以对这段代码进行类似“Bobby Tables”的攻击吗？

Answer 1

根据所有必须解释命令的过程中的不同步骤，可能有一些可能性传递 %27 (例如)并让它充当单引号，不被注意地传递通过你的替换。

但是即使可以涵盖所有这些情况，并且对于这一个问题实际上是安全的，它的不足之处在于它不能统一执行。其他人可能会出现并想要添加 AND int1 = var1，并注意到您已经考虑过 SQL 注入(inject)，因此他们只是按照您的确切方式修改代码

String badInput = rawInput.replace("'","''");
String badInteger = rawInteger.replace("'","''");
ResultSet rs = statement.executeQuery("SELECT * FROM records WHERE" +
 "int1 = " + badInteger + " OR col1 = '"+badInput+"'");

...只有整数，它不再是你想要保护自己的引号!在这里，很明显任何事情都可能出错。因此，虽然这是一个需要有人实现得不好的问题，但我认为这是设计中最大的问题——它只涵盖了一小部分情况。

最好只说“以下是一个变量。无论它包含什么，都将其视为一个值，并且不要尝试将其部分用作代码并执行该代码。”

p>