原理，过滤所有请求中含有非法的字符，例如：, & < select delete 等关键字，黑客可以利用这些字符进行注入攻击，原理是后台实现使用拼接字符串，案例：
某个网站的登入验证的SQL查询代码为

strSQL = "SELECT * FROM users WHERE (name = '" + userName + "') and (pw = '"+ passWord +"');"

恶意填入

userName = "' OR '1'='1";与passWord = "' OR '1'='1";时，将导致原本的SQL字符串被填为

strSQL = "SELECT * FROM users WHERE (name = '' OR '1'='1') and (pw = '' OR '1'='1');"

也就是实际上运行的SQL命令会变成下面这样的

strSQL = "SELECT * FROM users;"

因此达到无帐号密码，亦可登入网站。所以SQL注入攻击被俗称为黑客的填空游戏。

实现三个步骤：

1，编写filter

2，配置xml

3，配置error.jsp

filter代码；

package cn.kepu.filter;

import java.io.IOException;

import java.util.ArrayList;

import java.util.Arrays;

import java.util.List;

import java.util.Map;

import java.util.Set;

import javax.servlet.Filter;

import javax.servlet.FilterChain;

import javax.servlet.FilterConfig;

import javax.servlet.ServletException;

import javax.servlet.ServletRequest;

import javax.servlet.ServletResponse;

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletResponse;

/**

* 防止sql注入，自定义filter www.2cto.com

* cn.kepu.filter.SqlInjectFilter.java

* @author ffr

* created at 2012-7-12

*/

public class SqlInjectFilter implements Filter {

private static List<String> invalidsql = new ArrayList<String>();

private static String error = "/error.jsp";

private static boolean debug = false;

public void destroy() {

}

public void doFilter(ServletRequest req, ServletResponse res,

FilterChain fc) throws IOException, ServletException {

if(debug){

System.out.println("prevent sql inject filter works");

}

HttpServletRequest request = (HttpServletRequest)req;

HttpServletResponse response = (HttpServletResponse)res;

Map<String, String> params = request.getParameterMap();

Set<String> keys = params.keySet();

for(String key : keys){

String value = request.getParameter(key);

if(debug){

System.out.println("process params <key, value>: <"+key+", "+value+">");

}

for(String word : invalidsql){

if(word.equalsIgnoreCase(value) || value.contains(word)){

if(value.contains("<")){

value = value.replace("<", "<");

}

if(value.contains(">")){

value = value.replace(">", ">");

}

request.getSession().setAttribute("sqlInjectError", "the request parameter \""+value+"\" contains keyword: \""+word+"\"");

response.sendRedirect(request.getContextPath()+error);

return;

}

}

}

fc.doFilter(req, res);

}

public void init(FilterConfig conf) throws ServletException {

String sql = conf.getInitParameter("invalidsql");

String errorpage = conf.getInitParameter("error");

String de = conf.getInitParameter("debug");

if(errorpage != null){

error = errorpage;

}

if(sql != null){

invalidsql = Arrays.asList(sql.split(" "));

}

if(de != null && Boolean.parseBoolean(de)){

debug = true;

System.out.println("PreventSQLInject Filter staring...");

System.out.println("print filter details");

System.out.println("invalid words as fllows (split with blank):");

for(String s : invalidsql){

System.out.print(s+" ");

}

System.out.println();

System.out.println("error page as fllows");

System.out.println(error);

System.out.println();

}

}

}

2.web.xml中添加如下配置：

<filter>

<filter-name>PreventSqlInject</filter-name>

<filter-class>cn.kepu.filter.SqlInjectFilter</filter-class>

<!-- filter word, split with blank -->

<init-param>

<param-name>invalidsql</param-name>

<param-value>select insert delete from update create destory drop alter and or like exec count chr mid master truncate char declare ; - ' % < ></param-value>

</init-param>

<!-- error page -->

<init-param>

<param-name>error</param-name>

<param-value>/error.jsp</param-value>

</init-param>

<!-- debug -->

<init-param>

<param-name>debug</param-name>

<param-value>true</param-value>

</init-param>

</filter>

<filter-mapping>

<filter-name>PreventSqlInject</filter-name>

<url-pattern>/*</url-pattern>

</filter-mapping>

3，在根目录下添加error.jsp

<%@ page language="java" import="java.util.*" pageEncoding="utf-8"%>

<%

String path = request.getContextPath();

%>

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">

<html>

<head>

<title>防sql注入系统</title>

</head>

<body>

这个是防sql注入系统，自动过滤您的请求，请更换请求字符串。

<%=session.getAttribute("sqlInjectError")%>

<p><a href="<%=path%>">点此返回</a></p>

</body>

Java Filter防止sql注入攻击的更多相关文章

  1. Java程序员从笨鸟到菜鸟之（一百零二）sql注入攻击详解（三）sql注入解决办法

    sql注入攻击详解(二)sql注入过程详解 sql注入攻击详解(一)sql注入原理详解 我们了解了sql注入原理和sql注入过程,今天我们就来了解一下sql注入的解决办法.怎么来解决和防范sql注入, ...

  2. Java程序员从笨鸟到菜鸟之（一百）sql注入攻击详解（一）sql注入原理详解

    前段时间,在很多博客和微博中暴漏出了12306铁道部网站的一些漏洞,作为这么大的一个项目,要说有漏洞也不是没可能,但其漏洞确是一些菜鸟级程序员才会犯的错误.其实sql注入漏洞就是一个.作为一个菜鸟小程 ...

  3. Java学习笔记47（JDBC、SQL注入攻击原理以及解决）

    JDBC:java的数据库连接 JDBC本质是一套API,由开发公司定义的类和接口 这里使用mysql驱动,是一套类库,实现了接口 驱动程序类库,实现接口重写方法,由驱动程序操作数据库 JDBC操作步 ...

  4. Java程序员从笨鸟到菜鸟之（一百零一）sql注入攻击详解（二）sql注入过程详解

    在上篇博客中我们分析了sql注入的原理,今天我们就来看一下sql注入的整体过程,也就是说如何进行sql注入,由于本人数据库和网络方面知识有限,此文章是对网上大量同类文章的分析与总结,其中有不少直接引用 ...

  5. Java应用开发中的SQL注入攻击

    1. 什么是SQL注入攻击? SQL注入攻击是黑客对数据库进行攻击的常用手段之一.随着B/S模式应用开发的发展,使用这种模式编写应用程序的程序员越来越多.但是由于程序员的水平及经验参差不齐,相当一部分 ...

  6. 实例讲解 SQL 注入攻击

    这是一篇讲解SQL注入的实例文章,一步一步跟着作者脚步探索如何注入成功,展现了一次完整的渗透流程,值得一读.翻译水平有限,见谅! 一位客户让我们针对只有他们企业员工和顾客能使用的企业内网进行渗透测试. ...

  7. SQL注入攻击的种类和防范手段

    观察近来的一些安全事件及其后果,安全专家们已经得到一个结论,这些威胁主要是通过SQL注入造成的.虽然前面有许多文章讨论了SQL注入,但今天所讨论的内容也许可帮助你检查自己的服务器,并采取相应防范措施. ...

  8. 使用SQLMAP对网站和数据库进行SQL注入攻击

    from:http://www.blackmoreops.com/2014/05/07/use-sqlmap-sql-injection-hack-website-database/ 0x00 背景介 ...

  9. 2017-2018-2 20179205《网络攻防技术与实践》第十一周作业 SQL注入攻击与实践

    <网络攻防技术与实践>第十一周作业 SQL注入攻击与实践 1.研究缓冲区溢出的原理,至少针对两种数据库进行差异化研究 缓冲区溢出原理   在计算机内部,输入数据通常被存放在一个临时空间内, ...

随机推荐

  1. 机器学习入门05 - 泛化 (Generalization)

    原文链接:https://developers.google.com/machine-learning/crash-course/generalization 泛化是指模型很好地拟合以前未见过的新数据 ...

  2. 【emotion】目标初定

    现在的我漂浮不定,我的心是凌乱的,虽然在我面前的路有无数条,但是我却不知道哪一条路是属于我的.对于java,我掌握的东西可能并不是系统的,想想也知道,自学一年,能形成什么样子的体系呢?然而在日常的工作 ...

  3. Unity中控制天空盒移动的解决办法

    为了使天空盒更真实,需要控制天空盒动态旋转. 网上找到的方法是: float num = RenderSettings.skybox.GetFloat("_Rotation"); ...

  4. 动态代理实现AOP

    代理 代理顾名思义:代为处理.不是对目标对象的直接操作,而是通过代理对目标对象进行包装,此时可以在目标对象的基础上添加额外的操作以满足业务需求.图示 分类:动态代理.静态代理. 代理三要素:共同接口. ...

  5. 读写锁ReentrantReadWriteLock：读读共享，读写互斥，写写互斥

    介绍 DK1.5之后,提供了读写锁ReentrantReadWriteLock,读写锁维护了一对锁:一个读锁,一个写锁.通过分离读锁和写锁,使得并发性相比一般的排他锁有了很大提升.在读多写少的情况下, ...

  6. mysql连续聚合

    连续聚合是按时间顺序对有序数据进行聚合的操作. 在下面的救示例中将使用EmpOrders表,该表用于存放每位员工每月发生的订购数量. 运行如下 代码创建EmpOrders表并填充示例数据. CREAT ...

  7. μC/OS-II 任务的同步与通信 --- 消息队列

    简介 使用消息队列可以在任务之间传递多条消息.消息队列由三个部分组成:事件控制块.消息队列和消息. 当把事件控制块成员 OSEventType 的值置为 OS_EVENT_TYPE_Q 时,该事件控制 ...

  8. Ansible常用模块介绍及使用（week5_day1_part2）--技术流ken

    Ansible模块 在上一篇博客<Ansible基础认识及安装使用详解(一)--技术流ken>中以及简单的介绍了一下ansible的模块.ansible是基于模块工作的,所以我们必须掌握几 ...

  9. @property、@sythesize以及Ivar和@dynamic讲解（下）

    下面仅仅是一些基本知识,可能有些知识用的比较少,不过知道怎么使用或者了解这个知识,还是不错的,毕竟技多不压身嘛!读完这篇文章大约需要5-10分钟左右!!! 一.@property 1.在头文件中: @ ...

  10. DOM入门。

    DOM  Document Object Model  文档对象模型,dom就是HTML页面的模型,将每个标签都作为一个对象,JavaScript通过调用DOM中的属性.方法就可以对网页中的文本框,层 ...