您现在的位置:软界网 ＞ 技术中心 ＞数据库＞ SQLServer ＞ 技术显示
操作系统|办公软件|实用工具|网络管理|软件开发|WEB开发|软件工程|数据库|设计在线|信息安全|行业信息化|管理信息化| 移动开发
Sql语句密码验证安全漏洞
2002-1-9 11:17:00　　　网友评论       阅读次数 点此评论
　 　
　　Sql语句作为国际标准的数据库查询语句，在各种编程环境中得到了广泛的应用。作为一个成熟、稳定的系统，用户登陆和密码验证是必不可少的。笔者在平时的编程工作中发现，许多程序员在用sql语句进行用户密码验证时是通过一个类似这样的语句来实现的：

　　Sql="Select * from 用户表 where 姓名='"+name+"' and 密码='"+password+"'"

　　其中name和password是存放用户输入的用户名和口令，通过执行上述语句来验证用户和密码是否合法有效。但是通过分析可以发现，上述语句却存在着致命的漏洞。当我们在用户名称中输入下面的字符串时：111'or'1=1，然后口令随便输入，我们设为aaaa。变量代换后，sql语句就变成了下面的字符串：

　　Sql="Select * from 用户表 where 姓名='111'or'1=1' and 密码='aaaa'

　　我们都知道select语句在判断查询条件时，遇到或（or）操作就会忽略下面的与（and）操作，而在上面的语句中1=1的值永远为true，这意味着无论在密码中输入什么值，均能通过上述的密码验证！这个问题的解决很简单，方法也很多，最常用的是在执行验证之前，对用户输入的用户和密码进行合法性判断，不允许输入单引号、等号等特殊字符。

　　上述问题虽然看起来简单，但确实是存在的。例如在互联网上很有名气的网络游戏"笑傲江湖"的早期版本就存在着这样的问题，笔者也是在看了有关此游戏的漏洞报告后才仔细分析了自己以前编写的一些程序，竟然有不少也存在着这样的漏洞。这确实应该引起我们的注意。这也暴露出包括笔者在内的年轻程序员在编程经验和安全意识上的不足。同时也提醒我们编程工作者在程序设计时应当充分考虑程序的安全性，不可有半点马虎，一个看似很小的疏漏可能就会造成很严重的后果。

关注此文读者还看过
·超级PK:Sybase与Oracle的十二场性能比拼
·你的MySQL安全了吗？加铸23道安全门
·深入浅出SQL教程之SELECT语句的自连接
·Oracle数据库设计开发阶段性能优化策略
·透视MySQL数据库之更新语句
·深入浅出SQL之左连接、右连接和全连接
·用触发器生成数据库表的数据操作日志
·MySQL数据库中的安全解决方案
·深入浅出SQL教程之SELECT语句中的表连接
网友关注
最新上市
编辑推荐
文章阅读排行
周排行
月排行
热点推荐
欢迎订阅天极网RSS聚合资讯：http://www.yesky.com/index.xml　　　　
　
      来源：　作者：
　
【评论查看】
更多关于 Sql语句密码验证安全漏洞,软件开发,嵌入式开发,java开发工具,驱动开发,软件工程,IBM,微软,数据库  的技术
  • 黑客针对微软周二打过补丁的漏洞发起攻击 2007-9-28 2:41:05
  • 论CRM与数据库营销 2007-9-30 11:09:10
  • IBM的全球物流 2007-9-30 11:09:17
  • 酷!一劳永逸地驯服微软更新服务 2007-4-7 5:32:29
  • 微软工具：MBSA构筑最基层安全防线 2007-8-4 10:08:04
  • IBMFTOOL使用手记 2007-3-13 18:48:44
  • 巧用Ghost破解微软的安全保护 2007-7-9 22:26:18
  • 微软IE浏览器非常规修改攻略 2007-7-14 6:33:07
  • 备份与恢复Win2003的AD数据库 2007-6-2 4:41:36
  • MySQL数据库和备份与恢复 2007-3-14 17:54:44
  • 用微软IIS实现身份认证管理详解(图) 2007-9-19 5:52:16
  • 深入了解微软个人服务器PWS之一 2007-3-21 22:24:49
  • IBM Aix上Qmail的建立 2007-3-24 4:48:22
  • C++Builder 6操作MS SQL Server数据库的SQL集锦 2007-2-11 11:15:06
  • C++ Builder中，sql server、服务器端备份数据库 2007-7-24 21:38:44
    • 热点技术
  • ·[Mysql]将图片储存在MySQL数据
  • ·Linux系统套接字编程中存在的五个隐患
  • ·关于IBR的一点想法
  • ·[Mysql]Mysql服务器的启动与停
  • ·Unreal 3 Engine Feat
  • ·[Mysql]Mysql服务器的启动与停
  • ·SQL2005用XML数据类型进行数据建
  • ·建立Access 数据库的安全门
  • ·Linux硬件驱动：USB设备驱动开发篇
  • ·SQL Server 2005 XML最
    • 热门评论
  • ·Access:API使用集锦
  • ·[Mysql]将图片储存在MySQL数据
  • ·Linux系统套接字编程中存在的五个隐患
  • ·关于IBR的一点想法
  • ·[Mysql]Mysql服务器的启动与停
  • ·Unreal 3 Engine Feat
  • ·[Mysql]Mysql服务器的启动与停
  • ·SQL2005用XML数据类型进行数据建
  • ·建立Access 数据库的安全门
  • ·Linux硬件驱动：USB设备驱动开发篇