MyBatis原始碼閱讀–防注入實現

什麼是Sql注入

百度百科：Sql注入
簡單來講，一條查詢語句如下,userName為使用者傳入的String引數 ：

public String getSql(String userName){
   return "select * from user where user_name =  " + userName;
}
//獲取到的sql就是
"select * from user where user_name =  (userName)";

如果輸入引數被使用者惡意偽造，使得 userName 傳入的字串為 " ‘xxxx’ or 1 =1",

//獲取到的sql就是
 

"select * from user where user_name =  'xxxx' or 1 =1";

那麼此時查詢條件永遠為真，資料就會被查詢出來。

jdbc 中的Statement介面

Statement是jdk sql包下的一個介面，其有三個實現類，Statement ，PreparedStatement，CallableStatement其中CallableStatement是PreparedStatement的子類;

• Statement只能執行靜態sql 語句
• PreparedStatement可以動態操作sq語句
• CallableStatement在PreparedStatement的基礎上，增加了對儲存過程的支援。

例子

Statement訪問資料庫

 public void testSQLInjection() {
        String username = "a' OR PASSWORD = ";
        String password = " OR '1'='1";

        String sql = "SELECT * FROM users WHERE username = '" + username
                + "' AND " + "password = '" + password + "'";
        System.out.println
 
(sql);
        Connection connection = null;
        Statement statement = null;
        ResultSet resultSet = null;
        try {
            connection = JDBCTools.getConnection();
            statement = connection.createStatement();
            resultSet = statement.executeQuery(sql);
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            JDBCTools.releaseDB(resultSet, statement, connection);
        }
    }

PreparedStatement訪問資料庫

public void testSQLInjection2() {
        String username = "a' OR PASSWORD = ";
        String password = " OR '1'='1";
        String sql = "SELECT * FROM users WHERE username = ? "
                + "AND password = ?";
        Connection connection = null;
        PreparedStatement preparedStatement = null;
        ResultSet resultSet = null;
        try {
            connection = JDBCTools.getConnection();
            
            preparedStatement = connection.prepareStatement(sql);
            //單獨設定sql語句佔位符中的兩個引數
            preparedStatement.setString(1, username);
            preparedStatement.setString(2, password);
            resultSet = preparedStatement.executeQuery();
        } catch (Exception e) {
            e.printStackTrace();
        } finally {
            JDBCTools.releaseDB(resultSet, preparedStatement, connection);
        }
    }

可以看到PreparedStatement的sql語句傳入引數都是“？”代替，引數可以動態改變，PreparedStatement會對sql語句進行預編譯處理。Statement的sql語句屬於字串拼接，Statement不會對sql語句進行預編譯處理，很容易出現上述的注入攻擊。

StatementType

org.apache.ibatis.mapping.StatementType定義了三個列舉量，分別對應上述的三種Statement。

public enum StatementType {
    STATEMENT,
    PREPARED,
    CALLABLE;

    private StatementType() {
    }
}

mapper.xml 防注入實現

這是mapper 介面中的方法

   SysUser selectByPrimaryKeyAndName(@Param("id") Long id,@Param("userName") String name);

執行查詢語句

 sysUser1 = sysUserMapper.selectByPrimaryKeyAndName(1030L,"liqia");

對應的mapper.xml查詢語句

通過設定statementType屬性來設定不同的實現類。

PREPARED防注入實現

使用PREPARED，最終使用PreparedStatement類來執行，防注入實現。

 <select id="selectByPrimaryKeyAndName"  resultMap="BaseResultMap"   statementType="PREPARED">
    select id, user_name, user_password, user_email, create_time, user_info, head_img
    from sys_user
    where id = #{id,jdbcType=BIGINT} and  user_name = #{userName,jdbcType=VARCHAR}
  </select>

日誌輸出

DEBUG [main] - ==>  Preparing: select id, user_name, user_password, user_email, 
create_time, user_info, head_img from sys_user where id = ? and user_name = ? 
DEBUG [main] - ==> Parameters: 1030(Long), liqia(String)
TRACE [main] - <==    Columns: id, user_name, user_password, user_email, 
create_time, user_info, head_img
TRACE [main] - <==        Row: 1030, liqia, 789, Mali@qq.com, 2018-03-14 14:53:11.0, 
<<BLOB>>, <<BLOB>>
DEBUG [main] - <==      Total: 1

使用？類作為佔位符，最後再將兩個引數傳入。

STATEMENT存在注入風險

使用STATEMENT，最終使用Statement類來執行，存在注入攻擊的風險實現。

<select id="selectByPrimaryKeyAndName"  resultMap="BaseResultMap"  statementType="STATEMENT">
    select id, user_name, user_password, user_email, create_time, user_info, head_img
    from sys_user
    where id = ${id} and  user_name = '${userName}'
  </select>

日誌輸出

DEBUG [main] - ==>  Executing: select id, user_name, user_password, user_email, 
create_time, user_info, head_img from sys_user where id = 1030 and user_name = 'liqia' 
TRACE [main] - <==    Columns: id, user_name, user_password,
user_email, create_time, user_info, head_img
TRACE [main] - <==        Row: 1030, liqia, 789, Mali@qq.com, 2018-03-14 14:53:11.0,
 <<BLOB>>, <<BLOB>>
DEBUG [main] - <==      Total: 1

沒有站位符，直接將Sql語句和引數拼接。

注意兩段日誌中的不同之處：

//PREPARED
 where id = ? and user_name = ?
 //STATEMENT
 where id = 1030 and user_name = 'liqia' 

注意：
statementType未指定的情況下，預設是“PREPARED”。
需要注意的是

1. PREPARED時，佔位符使用"#"。STATEMENT時，佔位符使用"$",否則會出現異常。
2. 由於傳入的userName是字串型別，STATEMENT時，${userName}外邊需要家引號。
3. STATEMENT時，相當字串拼接，因此不能再使用jdbcType=BIGINT,jdbcType=VARCHAR等。

什麼情況下會出現注入風險

上面的兩個例子並不會出現注入攻擊風險。
因為上述例子中，’${userName}’ ，userName已經使用單引號包圍，不管你的輸入引數是什麼，都會被解析成一個查詢字串。
比如輸入是" xxxx or 1 =1"
sql語句是

select id, user_name, user_password, user_email, create_time,
 user_info, head_img from sys_user where id = 1030 and user_name = 'xxxx or 1 =1' 

當沒有單引號時，才會出現注入攻擊風險。

<select id="selectByPrimaryKeyAndName"  resultMap="BaseResultMap"  statementType="STATEMENT">
    select id, user_name, user_password, user_email, create_time, user_info, head_img
    from sys_user
    where id = ${id} and  user_name = ${userName}
  </select>

執行查詢語句,注意 xxx使用了單引號包圍。

 sysUser1 = sysUserMapper.selectByPrimaryKeyAndName(1030L," 'xxx' or 1=1");

輸出，注意此時的查詢語句：select id, user_name, user_password, user_email, create_time, user_info, head_img from sys_user where id = 1030 and user_name = ‘xxxx’ OR 1=1

DEBUG [main] - ==>  Executing: select id, user_name, user_password, user_email, 
create_time, user_info, head_img from sys_user where id = 1030 
and user_name = 'xxxx' OR 1=1 
TRACE [main] - <==    Columns: id, user_name, user_password, user_email,
 create_time, user_info, head_img
TRACE [main] - <==        Row: 1, admin, 123456, admin@mybatis.tk, 
2018-03-03 11:00:00.0, <<BLOB>>, <<BLOB>>
TRACE [main] - <==        Row: 1030, liqia, 789, Mali@qq.com, 
2018-03-14 14:53:11.0, <<BLOB>>, <<BLOB>>
TRACE [main] - <==        Row: 1054, null, null, null, 2018-09-30 17:16:26.0, 
<<BLOB>>, <<BLOB>>
Exception in thread "main" org.apache.ibatis.exceptions.TooManyResultsException: 
Expected one result (or null) to be returned by selectOne(), but found: 3
DEBUG [main] - <==      Total: 3

我們的資料庫中並沒有一條資料的user_name是輸入引數（" ‘xxx’ or 1=1"），但所有的資料都被查詢出來，這就是注入攻擊。