原理，过滤所有请求中含有非法的字符，例如：, & < select delete 等关键字，黑客可以利用这些字符进行注入攻击，原理是后台实现使用拼接字符串，案例：
某个网站的登入验证的SQL查询代码为

strSQL = "SELECT * FROM users WHERE (name = '" + userName + "') and (pw = '"+ passWord +"');"

恶意填入

userName = "' OR '1'='1";与passWord = "' OR '1'='1";时，将导致原本的SQL字符串被填为

strSQL = "SELECT * FROM users WHERE (name = '' OR '1'='1') and (pw = '' OR '1'='1');"

也就是实际上运行的SQL命令会变成下面这样的

strSQL = "SELECT * FROM users;"

因此达到无帐号密码，亦可登入网站。所以SQL注入攻击被俗称为黑客的填空游戏。

实现三个步骤：

1，编写filter

2，配置xml

3，配置error.jsp

filter代码；

package cn.kepu.filter;

import java.io.IOException;

import java.util.ArrayList;

import java.util.Arrays;

import java.util.List;

import java.util.Map;

import java.util.Set;

import javax.servlet.Filter;

import javax.servlet.FilterChain;

import javax.servlet.FilterConfig;

import javax.servlet.ServletException;

import javax.servlet.ServletRequest;

import javax.servlet.ServletResponse;

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletResponse;

/**

* 防止sql注入，自定义filter www.2cto.com

* cn.kepu.filter.SqlInjectFilter.java

* @author ffr

* created at 2012-7-12

*/

public class SqlInjectFilter implements Filter {

private static List<String> invalidsql = new ArrayList<String>();

private static String error = "/error.jsp";

private static boolean debug = false;

public void destroy() {

}

public void doFilter(ServletRequest req, ServletResponse res,

FilterChain fc) throws IOException, ServletException {

if(debug){

System.out.println("prevent sql inject filter works");

}

HttpServletRequest request = (HttpServletRequest)req;

HttpServletResponse response = (HttpServletResponse)res;

Map<String, String> params = request.getParameterMap();

Set<String> keys = params.keySet();

for(String key : keys){

String value = request.getParameter(key);

if(debug){

System.out.println("process params <key, value>: <"+key+", "+value+">");

}

for(String word : invalidsql){

if(word.equalsIgnoreCase(value) || value.contains(word)){

if(value.contains("<")){

value = value.replace("<", "<");

}

if(value.contains(">")){

value = value.replace(">", ">");

}

request.getSession().setAttribute("sqlInjectError", "the request parameter \""+value+"\" contains keyword: \""+word+"\"");

response.sendRedirect(request.getContextPath()+error);

return;

}

}

}

fc.doFilter(req, res);

}

public void init(FilterConfig conf) throws ServletException {

String sql = conf.getInitParameter("invalidsql");

String errorpage = conf.getInitParameter("error");

String de = conf.getInitParameter("debug");

if(errorpage != null){

error = errorpage;

}

if(sql != null){

invalidsql = Arrays.asList(sql.split(" "));

}

if(de != null && Boolean.parseBoolean(de)){

debug = true;

System.out.println("PreventSQLInject Filter staring...");

System.out.println("print filter details");

System.out.println("invalid words as fllows (split with blank):");

for(String s : invalidsql){

System.out.print(s+" ");

}

System.out.println();

System.out.println("error page as fllows");

System.out.println(error);

System.out.println();

}

}

}

2.web.xml中添加如下配置：

<filter>

<filter-name>PreventSqlInject</filter-name>

<filter-class>cn.kepu.filter.SqlInjectFilter</filter-class>

<!-- filter word, split with blank -->

<init-param>

<param-name>invalidsql</param-name>

<param-value>select insert delete from update create destory drop alter and or like exec count chr mid master truncate char declare ; - ' % < ></param-value>

</init-param>

<!-- error page -->

<init-param>

<param-name>error</param-name>

<param-value>/error.jsp</param-value>

</init-param>

<!-- debug -->

<init-param>

<param-name>debug</param-name>

<param-value>true</param-value>

</init-param>

</filter>

<filter-mapping>

<filter-name>PreventSqlInject</filter-name>

<url-pattern>/*</url-pattern>

</filter-mapping>

3，在根目录下添加error.jsp

<%@ page language="java" import="java.util.*" pageEncoding="utf-8"%>

<%

String path = request.getContextPath();

%>

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">

<html>

<head>

<title>防sql注入系统</title>

</head>

<body>

这个是防sql注入系统，自动过滤您的请求，请更换请求字符串。

<%=session.getAttribute("sqlInjectError")%>

<p><a href="<%=path%>">点此返回</a></p>

</body>

Java Filter防止sql注入攻击的更多相关文章

  1. Java程序员从笨鸟到菜鸟之（一百零二）sql注入攻击详解（三）sql注入解决办法

    sql注入攻击详解(二)sql注入过程详解 sql注入攻击详解(一)sql注入原理详解 我们了解了sql注入原理和sql注入过程,今天我们就来了解一下sql注入的解决办法.怎么来解决和防范sql注入, ...

  2. Java程序员从笨鸟到菜鸟之（一百）sql注入攻击详解（一）sql注入原理详解

    前段时间,在很多博客和微博中暴漏出了12306铁道部网站的一些漏洞,作为这么大的一个项目,要说有漏洞也不是没可能,但其漏洞确是一些菜鸟级程序员才会犯的错误.其实sql注入漏洞就是一个.作为一个菜鸟小程 ...

  3. Java学习笔记47（JDBC、SQL注入攻击原理以及解决）

    JDBC:java的数据库连接 JDBC本质是一套API,由开发公司定义的类和接口 这里使用mysql驱动,是一套类库,实现了接口 驱动程序类库,实现接口重写方法,由驱动程序操作数据库 JDBC操作步 ...

  4. Java程序员从笨鸟到菜鸟之（一百零一）sql注入攻击详解（二）sql注入过程详解

    在上篇博客中我们分析了sql注入的原理,今天我们就来看一下sql注入的整体过程,也就是说如何进行sql注入,由于本人数据库和网络方面知识有限,此文章是对网上大量同类文章的分析与总结,其中有不少直接引用 ...

  5. Java应用开发中的SQL注入攻击

    1. 什么是SQL注入攻击? SQL注入攻击是黑客对数据库进行攻击的常用手段之一.随着B/S模式应用开发的发展,使用这种模式编写应用程序的程序员越来越多.但是由于程序员的水平及经验参差不齐,相当一部分 ...

  6. 实例讲解 SQL 注入攻击

    这是一篇讲解SQL注入的实例文章,一步一步跟着作者脚步探索如何注入成功,展现了一次完整的渗透流程,值得一读.翻译水平有限,见谅! 一位客户让我们针对只有他们企业员工和顾客能使用的企业内网进行渗透测试. ...

  7. SQL注入攻击的种类和防范手段

    观察近来的一些安全事件及其后果,安全专家们已经得到一个结论,这些威胁主要是通过SQL注入造成的.虽然前面有许多文章讨论了SQL注入,但今天所讨论的内容也许可帮助你检查自己的服务器,并采取相应防范措施. ...

  8. 使用SQLMAP对网站和数据库进行SQL注入攻击

    from:http://www.blackmoreops.com/2014/05/07/use-sqlmap-sql-injection-hack-website-database/ 0x00 背景介 ...

  9. 2017-2018-2 20179205《网络攻防技术与实践》第十一周作业 SQL注入攻击与实践

    <网络攻防技术与实践>第十一周作业 SQL注入攻击与实践 1.研究缓冲区溢出的原理,至少针对两种数据库进行差异化研究 缓冲区溢出原理   在计算机内部,输入数据通常被存放在一个临时空间内, ...

随机推荐

  1. join和+的区别

    连接字符串的时候可以用join也可以用+,但这两者有没有区别呢? 我们先来看一下用join和+连接字符串的例子 str1 = " ".join(["hello" ...

  2. JAVA面试题-数组字符串基础

    1.大写的Integer和String是可变类还是不可变类?怎么定义不可变类?不可变.用final关键字,如public final class Integer extends Number 2.比较 ...

  3. 激活IDEA方法

    1.需要一个jar包,在 http://idea.lanyus.com/  下载 2.将jar拷贝到idea安装目录 3.复制jar包路径   到如下图两个文件中 例:-javaagent:C:\Ap ...

  4. 动态dp初探

    动态dp初探 动态区间最大子段和问题 给出长度为\(n\)的序列和\(m\)次操作,每次修改一个元素的值或查询区间的最大字段和(SP1714 GSS3). 设\(f[i]\)为以下标\(i\)结尾的最 ...

  5. C# 结合 using 语句块的三种实用方法

    一.简介 阅读 Abp 源码的过程中,自己也学习到了一些之前没有接触过的知识.在这里,我在这儿针对研究学习 Abp 框架中,遇到的一些值得分享的知识写几篇文章.如果有什么疑问或者问题,欢迎大家评论指正 ...

  6. mysql 开发基础系列11 存储引擎memory和merge介绍

    一. memory存储引擎 memoery存储引擎是在内存中来创建表,每个memory表只实际对应一个磁盘文件格式是.frm.   该引擎的表访问非常得快,因为数据是放在内存中,且默认是hash索引, ...

  7. 没搞懂的package.json

    事情是这样的,今天上午,后端同学 clone 了我们的一个小程序项目,希望到自己的电脑上跑起来. 然而,令人尴尬的是,他在 npm install 之后,项目并没有如愿运行,并抛出一个大大的错误. 后 ...

  8. leetcode — valid-number

    /** * * Source : https://oj.leetcode.com/problems/valid-number/ * * * Validate if a given string is ...

  9. Java 容器源码分析之 ArrayList

    概览 ArrayList是最常使用的集合类之一了.在JDK文档中对ArrayList的描述是:ArrayList是对list接口的一种基于可变数组的实现.ArrayList类的声明如下: 12 pub ...

  10. html模板输头部出现"&#65279"