圖書館網站如何避免SQL注入攻擊

陳天文

（濰坊市圖書館，山東 濰坊 261041）

隨著計算機和網絡技術的日益發展，網絡化、數字化成為圖書館發展的重要方向，圖書館網站建設成為其中不可缺少的重要組成部分。圖書館網站不但是圖書館實現對外交流的窗口，也是圖書館革新檢索和服務方式、更好地為讀者提供信息服務的橋梁和紐帶。目前，圖書館網站已從早期提供簡單信息服務轉化為能根據用戶需要提供動態的、具有交互功能的特定服務，如聯合編目、網上流通、網上參考咨詢、電子資源的管理與發布、視頻點播等。在網站建設過程中，由于開發水平及管理經驗參差不齊，部分網站開發人員在編寫代碼的時候，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患，網站容易遭受不同程度的SQL注入攻擊。SQL注入攻擊由于其廣泛性、易學性、難捕獲性已經逐漸成為互聯網上主流的黑客攻擊方式，因此有必要結合圖書館網站自身特點，了解SQL注入攻擊的原理，盡可能多地采取防范措施，并在遭受攻擊后能采取行之有效的恢復措施，以保證網站的正常運行。

目前圖書館網絡安全系統主要采用的是以防火墻為主的被動管理，即根據設定的規則，對流入網絡中的流量進行過濾，從而防止非法行為的入侵。防火墻的作用只是對訪問對象進行認證，而對于網站本身存在的軟件問題，入侵者依然可以在遵守防火墻訪問規則的前提下實施攻擊，所以防火墻并不能解決所有的安全問題。

1 SQL注入原理及其目的

1.1 什么是SQL注入

所謂SQL注入，就是在客戶端通過把SQL命令插入到Web表單遞交或頁面請求的查詢字符串，最終達到欺騙服務器執行惡意的SQL命令，即通過遞交參數構造巧妙的SQL語句，從而成功獲取想要的數據。

1.2 SQL注入的目的

SQL注入目的是獲取管理員的賬號和密碼，后果輕則導致敏感信息的泄漏，重則整個服務器受他人控制。一旦網站服務器被注入成功，網站會出現以下幾種后果：①重要信息被人竊取；②數據記錄被篡改；③網站文件被插入“尾巴”，登錄網站時轉向其他網站或傳播病毒；④網站服務器被掛“木馬”程序；⑤網站服務器全面癱瘓。

2 圖書館網站類型

目前圖書館網站主要分為4類：①網站全部由靜態頁面組成，此類網站在功能上起到展示的作用，更新比較復雜，功能比較單一。②通過中間件產品，如TRS、清華同方WCCM等內容管理系統進行二次開發或通過自主開發的中間件產品，在服務器端發布數據時自動生成靜態網頁，用戶在客戶端訪問的全部是靜態網頁。③通過下載網站模板源代碼進行修改建站。④通過ASP、PHP等技術自主開發動態網站。

目前全國省級以上公共圖書館采用第一種、第三種方式建站的很少；采用第二種方式建站的有國家圖書館、首都圖書館、遼寧、福建、山西、湖北、河北、陜西、黑龍江、吉林、河南、青海、香港共13家；采用第四種方式建站的有甘肅、江西、云南、四川、海南、上海、內蒙古、新疆、西藏、廣東、青島、臺灣、浙江、貴州、澳門共15家；其余圖書館采用JSP等其他技術。第二種方式是近年來比較流行的建站方式，安全性較高，該方式與ASP、PHP技術的區別在于所有數據在服務器發布處理完畢后生成靜態網頁，客戶端訪問時沒有對數據庫的操作，不像ASP等技術根據用戶請求需要對數據庫進行相應的操作，從而最大可能地減少了對數據庫的攻擊。目前，國內大型門戶網站全部采用這種方式建站。ASP技術由于靈活性、易用性，在圖書館網站的應用也比較廣泛。ASP技術是構建網站的主流技術，特別是asp.net技術的推出提供了更為廣闊的空間，第二種建站方式的網站后臺管理系統也較多采用asp.net等技術。

3 SQL注入攻擊的主要對象及其方法

對于全部由靜態網頁組成的網站，主要用來發布圖書館簡單信息，通過FTP實現更新操作，所以保管和設置好FTP密碼即可。第二類網站，由于這類商品軟件經過嚴格測試，技術比較成熟。其次，在前臺呈現的大多是靜態頁面，遭受攻擊的可能性較小，這類網站管理好后臺登錄系統的入口及密碼是關鍵。第三四類網站是SQL注入的主要對象。

SQL注入操作比較簡單，特別是網上流行的啊D注入工具、HDSI等能夠自動分析網頁是否存在注入漏洞及其數據庫類型。在實際操作中，如果是針對Access數據庫，可以對表名、字段名、字段值進行逐個猜測，接著用函數來計算數據并將它們還原；如果是MSSQL數據庫，由于所有的列表都保存在特定的位置，可以直接通過暴庫的方法來獲取。圖1、圖2分別為唐山圖書館ACCESS注入檢測（圖1）和荊門圖書館MYSQL注入檢測（圖2）界面及其結果。

圖1 ACCESS注入檢測

圖2 M YSQL注入檢測

4 避免SQL注入攻擊的主要措施

4.1 在開發網站系統時使用類、存儲過程等面向對象的概念實現數據庫的訪問可以有效防止SQL注入漏洞

面向對象的程序設計思想在一定程序上包含對輸入的數據進行有效性檢驗及上下文的對比分析，并且能夠重復調用，所以提高了代碼效率，減少了由于多次重寫代碼而存在危險性的機率。

4.2 系統設計要嚴密，避免出現錯誤信息

入侵者根據錯誤提示很容易得到有關數據庫的相關信息。如以下錯誤信息：

MicrosoftOLEDBProviderforODBCDrivers（0x80040E07）

[Microsoft][ODBC SQL Server Driver]

[SQL Server]將nvarchar值'sonybb'轉換為數據類型為int的列時發生語法錯誤。

/lawjia/show.asp，第 47行

根據這個出錯信息，可以獲得以下信息：該站使用MS＿SQL數據庫，用ODBC連接，連接賬號名為sonybb。獲得這些信息對下一步的SQL注入提供了重要數據，故始終通過測試類型、長度、格式和范圍來驗證用戶輸入，過濾用戶輸入的內容，防止出現系統錯誤提示，這是防止SQL注入式攻擊的常見并且行之有效的措施，同時在客戶端和服務器端都執行驗證，之所以要執行服務器端驗證，是為了彌補客戶端驗證機制脆弱的安全性。

4.3 布署防注入系統

如網上流行的SQL通用防注入系統，能夠自動封殺注入者IP，使注入者不能再訪問本站。同時可以查看入侵者提交數據記錄，解除對注入者IP等。

該系統代碼使用方法很簡單，只要在需要防注入的頁面頭部插入