前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >怎么使用Python攻击SQL数据库

怎么使用Python攻击SQL数据库

作者头像
Python知识大全
发布2020-02-13 15:35:32
2K0
发布2020-02-13 15:35:32
举报
文章被收录于专栏:Python 知识大全

上篇我们介绍了怎么使用Python注入SQL攻击,使用Python防止SQL注入攻击(上)这次我们将介绍怎么防止Python注入SQL攻击。有上一篇的铺垫,我们废话不多说,开搞。。。

制作安全查询参数

在上一篇中,我们看到了入侵者如何利用系统并通过使用 字符串获得管理权限。问题是,我们允许直接执行从客户端传递的值到数据库,却不执行任何类型的检查或验证,所以SQL注入就是依赖于这种类型的漏洞。

在数据库查询中使用用户输入时,可能存在SQL注入漏洞。防止PythonSQL注入的关键是确保该值是不是我们的意愿使用。在前面的示例中,我们打算username用作字符串。实际上,它被用作原始SQL语句。

为了防止入侵者将原始SQL注入字符串参数的位置,可以转义引号:

代码语言:javascript
复制
>>> # BAD EXAMPLE. DON'T DO THIS!
>>> username = username.replace("'", "''")

这只是一个例子。在试图阻止Python SQL注入时,需要考虑许多特殊的字符和情况。还好,数据库适配器提供了内置的工具,可以通过使用查询参数来防止Python SQL注入。它们代替普通的字符串插值来组成一个带有参数的查询。

注意:不同的适配器、数据库和编程语言以不同的名称引用查询参数。常见的名称包括绑定变量、替换变量和替换变量。

现在我们对这个漏洞有了更好的理解,我们可以用查询参数代替字符串插值来重写函数了:

代码语言:javascript
复制
def is_admin(username: str) -> bool:
    with connection.cursor() as cursor:
        cursor.execute("""
            SELECT
                admin
            FROM
                users
            WHERE
                username = %(username)s
        """, {
            'username': username
        })
        result = cursor.fetchone()

    if result is None:
        # User does not exist
        return False

    admin, = result
    return admin

在第9行,我们使用了一个命名参数username来指示用户名应该放在哪里。注意,参数username不再被单引号包围。

在第11行,我们将username的值作为第二个参数传递给了sor.execute()。在数据库中执行查询时,连接将使用username的类型和值。

测试这个函数,尝试一些有效和无效的值,包括危险的字符串:

代码语言:javascript
复制
>>> is_admin('haki')
False
>>> is_admin('ran')
True
>>> is_admin('foo')
False
>>> is_admin("'; select true; --")
False

该函数返回所有值都是预期的结果。更重要的是,无效的用户名已经不再起作用了。可以通过检查execute()生成的查询来看原因:

代码语言:javascript
复制
>>> with connection.cursor() as cursor:
...    cursor.execute("""
...        SELECT
...            admin
...        FROM
...            users
...        WHERE
...            username = %(username)s
...    """, {
...        'username': "'; select true; --"
...    })
...    print(cursor.query.decode('utf-8'))
SELECT
    admin
FROM
    users
WHERE
    username = '''; select true; --'

该连接将username的值视为字符串,并终止Python SQL注入的字符可能转义该字符串的可能。

传递安全的查询参数

数据库适配器通常提供几种传递查询参数的方法。命名占位符通常是可读性最好的,但是一些实现可能从使用其他选项中获得。

让我们快速查看一下使用查询参数的一些正确和错误的方法。下面的代码块显示了希望避免的查询类型:

代码语言:javascript
复制
# BAD EXAMPLES. DON'T DO THIS!
cursor.execute("SELECT admin FROM users WHERE username = '" + username + '");
cursor.execute("SELECT admin FROM users WHERE username = '%s' % username);
cursor.execute("SELECT admin FROM users WHERE username = '{}'".format(username));
cursor.execute(f"SELECT admin FROM users WHERE username = '{username}'");

这些每一条语句都将用户名从客户机直接传递到数据库,而不执行任何检查或验证。这种代码适合引入Python SQL注入。

相比之下,这些类型的查询执行起来应该是安全的:

代码语言:javascript
复制
cursor.execute("SELECT admin FROM users WHERE username = %s'", (username, ));
cursor.execute("SELECT admin FROM users WHERE username = %(username)s", {'username': username});

在这些语句中,用户名作为命名参数传递。数据库将在执行查询时使用用户名的指定类型和值,从而避免Python SQL注入。

使用SQL组成

到目前为止,我们已经将参数用于诸如数字、字符串和日期之类的值。但是,如果有一个需要组合不同查询,比如表名或列名,该怎么办呢?

受前一个示例的启发,让我们实现一个函数,该函数接受表的名称并返回该表中的行数:

代码语言:javascript
复制
# BAD EXAMPLE. DON'T DO THIS!
def count_rows(table_name: str) -> int:
    with connection.cursor() as cursor:
        cursor.execute("""
            SELECT
                count(*)
            FROM
                %(table_name)s
        """, {
            'table_name': table_name,
        })
        result = cursor.fetchone()

    rowcount, = result
    return rowcount

执行用户表:

代码语言:javascript
复制
Traceback (most recent call last):
  File "<stdin>", line 1, in <module>
  File "<stdin>", line 9, in count_rows
psycopg2.errors.SyntaxError: syntax error at or near "'users'"
LINE 5:                 'users'

该命令无法生成SQL。数据库适配器将变量视为字符串或文字,但是表名不是普通的字符串。所以这就是SQL组合的用武之地。

现在已经知道使用字符串插值表达式来编写SQL是不安全的。幸好,Psycopg提供了一个名为Psycopg的模块。帮助我们安全地编写sql查询。让我们使用psycopg.sql()重写这个函数:

代码语言:javascript
复制
from psycopg2 import sql

def count_rows(table_name: str) -> int:
    with connection.cursor() as cursor:
        stmt = sql.SQL("""
            SELECT
                count(*)
            FROM
                {table_name}
        """).format(
            table_name = sql.Identifier(table_name),
        )
        cursor.execute(stmt)
        result = cursor.fetchone()

    rowcount, = result
    return rowcount

现在有两个不同之处。首先,使用sql()来组合查询。然后,使用sql.Identifier()来注释参数值table_name。(标识符是列或表名。)

现在,尝试执行用户表上的函数:

代码语言:javascript
复制
>>> count_rows('users')
2

接下来,让我们看看当表不存在时会发生什么:

代码语言:javascript
复制
>>> count_rows('foo')
Traceback (most recent call last):
  File "<stdin>", line 1, in <module>
  File "<stdin>", line 11, in count_rows
psycopg2.errors.UndefinedTable: relation "foo" does not exist
LINE 5:                 "foo"            

该函数抛出UndefinedTable异常。在接下来的步骤中,我们将使用这个异常来表明函数不会受到Python SQL注入攻击。

为了将它们放在一起,添加一个选项来将表中的行数计数到一定的限制, 这个特性对非常大的表很有用。要实现这一点,在查询中添加一个LIMIT子句,以及LIMIT值的查询参数:

代码语言:javascript
复制
from psycopg2 import sql

def count_rows(table_name: str, limit: int) -> int:
    with connection.cursor() as cursor:
        stmt = sql.SQL("""
            SELECT
                COUNT(*)
            FROM (
                SELECT
                    1
                FROM
                    {table_name}
                LIMIT
                    {limit}
            ) AS limit_query
        """).format(
            table_name = sql.Identifier(table_name),
            limit = sql.Literal(limit),
        )
        cursor.execute(stmt)
        result = cursor.fetchone()

    rowcount, = result
    return rowcount

在这个代码块中,使用sql.Literal()注释了limit。与前面的示例一样,psycopg在使用时将所有查询参数绑定为文字。但是,在使用sql()时,需要使用sql.Identifier()或sql.Literal()显式地注释每个参数。

执行该功能,以确保运行正常:

代码语言:javascript
复制
>>> count_rows('users', 1)
1
>>> count_rows('users', 10)
2

运行正常,确保也是安全的:

代码语言:javascript
复制
>>> count_rows("(select 1) as foo; update users set admin = true where name = 'haki'; --", 1)
Traceback (most recent call last):
  File "<stdin>", line 1, in <module>
  File "<stdin>", line 18, in count_rows
psycopg2.errors.UndefinedTable: relation "(select 1) as foo; update users set admin = true where name = '" does not exist
LINE 8:                     "(select 1) as foo; update users set adm...

此返回显示psycopg转义了该值,并且数据库将其视为表名。由于不存在具有此名称的表,因此引发了UndefinedTable异常,攻击失败了

结论

我们已经成功地实现了一个组成动态SQL的函数,系统面临Python SQL注入的风险也没有了!

我们在查询中既使用了字面值,又使用了标识符,没有影响安全性。


新手python书籍推荐:


学到的:

什么是Python SQL注入以及如何利用它

如何使用查询参数防止Python SQL注入

如何安全地编写使用文字和标识符作为参数的SQL语句

现在可以创建能够抵御外部攻击的程序啦, 一起去阻止黑客吧!

剧终

本文参与 腾讯云自媒体同步曝光计划,分享自微信公众号。
原始发表:2019-12-11,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 Python 知识大全 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • 制作安全查询参数
相关产品与服务
云数据库 SQL Server
腾讯云数据库 SQL Server (TencentDB for SQL Server)是业界最常用的商用数据库之一,对基于 Windows 架构的应用程序具有完美的支持。TencentDB for SQL Server 拥有微软正版授权,可持续为用户提供最新的功能,避免未授权使用软件的风险。具有即开即用、稳定可靠、安全运行、弹性扩缩等特点。
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档