SQL注入- web服务器上的全局筛选器

Question

是否可以过滤包含SQL注入值的web请求？

Answer 1

有一些Web应用程序防火墙或数据库防火墙试图这样做。

您必须定义接受输入的模式，或者定义允许的文字输入列表。

其中一些产品的工作方式是让您在知道没有SQL注入攻击时运行应用程序来“训练”它们，并记录已知合法的SQL查询。然后关闭培训模式，然后防火墙将阻止任何与其输入列表不匹配的内容。

此解决方案的问题：

如果你需要改变你的网络应用程序，你需要重新训练防火墙，然后才能部署你的应用程序。

• 限制您运行可由这样一个列表匹配的

• 查询。如果您有高度可变的SQL (例如，动态查询在WHERE子句中执行额外的联接或附加条件)，则很难为allow.

• Firewall-based解决方案制定规则不能阻止存储过程中发生的SQL注入。

• 给您一种错误的安全感，使您在编写安全代码时容易松懈。

。

最后，最好通过使用查询参数来保护自己免受代码中SQL注入的影响。

这是几乎所有关于堆栈溢出上的SQL注入的问题的答案！

还请参阅我过去在web应用程序防火墙或数据库防火墙上的一些答案：

• How can we prevent SQL-Injection from MySQL?
• How to check for the sanity of sql query in PHP
• How to block SQL injection attacks by filtering the URL parameters in php?
• Writing a database firewall for blocking SQL Injection attacks