首页    技术博客    PHP教程    数据库技术    前端开发   HTML5    Nginx    php论坛
新用户注册 | 会员登录
加入会员，解锁专属内容
取消
热门标签 | HotTags
当前位置:  开发笔记 > 数据库 > 正文

MySQL安全加固实战

作者：威哥028_438 | 来源：互联网 | 2017-07-03 04:53
集团聘请国内顶级安全厂商对企业信息化系统安全扫描，发现笔者运维的系统存在SQL注入式漏洞、数据库提权安全漏洞、密码明文及附件上传安全隐患。于是笔者对该系统实施了系列的安全加固工作，在安全厂商进行二次扫描时未再发现安全隐患。具体应对措施如下：1）对于SQL注入式漏洞解决方案是这样的在用户对系统进行操作时首先进行非法字符校验，因为系统已经上线不可能在对每一个SQL问做P
集团聘请国内顶级安全厂商对企业信息化系统安全扫描，发现笔者运维的系统存在SQL注入式漏洞、数据库提权安全漏洞、密码明文及附件上传安全隐患。于是笔者对该系统实施了系列的安全加固工作，在安全厂商进行二次扫描时未再发现安全隐患。
具体应对措施如下：
1） 对于SQL注入式漏洞解决方案是这样的在用户对系统进行操作时首先进行非法字符校验，因为系统已经上线不可能在对每一个SQL问做PreparedStatement处理所以我通过添加一个过滤器action来实现屏蔽SQL注入漏洞，具体实现方法参见以下代码；
点击(此处)折叠或打开
1、防SQL注入代码如下所示：
package action;
public class StringUtil {
    public StringUtil() {
    }
    public static String replace(String str, String substr, String restr) {
        String[] tmp = split(str, substr);
        String returnstr = null;
        if (tmp.length != 0) {
            returnstr = tmp[0];
            for (int i = 0; i
                returnstr = dealNull(returnstr) + restr + tmp[i + 1];
        }
        return dealNull(returnstr);
    }
    public static String[] split(String source, String div) {
        int arynum = 0, intIdx = 0, intIdex = 0, div_length = div.length();
        if (source.compareTo("") != 0) {
            if (source.indexOf(div) != -1) {
                intIdx = source.indexOf(div);
                for (int intCount = 1;; intCount++) {
                    if (source.indexOf(div, intIdx + div_length) != -1) {
                        intIdx = source.indexOf(div, intIdx + div_length);
                        arynum = intCount;
                    } else {
                        arynum += 2;
                        break;
                    }
                }
            } else
                arynum = 1;
        } else
            arynum = 0;
        intIdx = 0;
        intIdex = 0;
        String[] returnStr = new String[arynum];
        if (source.compareTo("") != 0) {
            if (source.indexOf(div) != -1) {
                intIdx = (int) source.indexOf(div);
                returnStr[0] = (String) source.substring(0, intIdx);
                for (int intCount = 1;; intCount++) {
                    if (source.indexOf(div, intIdx + div_length) != -1) {
                        intIdex = (int) source
                                .indexOf(div, intIdx + div_length);
                        returnStr[intCount] = (String) source.substring(intIdx
                                + div_length, intIdex);
                        intIdx = (int) source.indexOf(div, intIdx + div_length);
                    } else {
                        returnStr[intCount] = (String) source.substring(intIdx
                                + div_length, source.length());
                        break;
                    }
                }
            } else {
                returnStr[0] = (String) source.substring(0, source.length());
                return returnStr;
            }
        } else {
            return returnStr;
        }
        return returnStr;
    }
    public static boolean sql_inj(String str) {
        String inj_str = "&＃39;|and|exec|insert|select|delete|update|count|*|%|chr|mid|master|truncate|char|declare|;|or|-|+|,";
        String inj_stra[] = split(inj_str, "|");
        for (int i = 0; i
            if (str.indexOf(inj_stra[i]) >= 0) {
                return true;
                
            }
        }
        return false;
    }
    private static String dealNull(String str) {
        String returnstr = null;
        if (str == null)
            returnstr = "";
        else
            returnstr = str;
        return returnstr;
    }
// public static void main(String[] args) {
// if(sql_inj("test&＃39;&＃39;")==true)
// System.out.println("非法字符");
// else
// System.out.println("输入内容合法"); 
// 
// }
}
2、MD5加密代码如下所示：
package action;
import java.security.MessageDigest;
/**
 *
 
 * Title:MD5加密和验证
 *
 
 * 
 *
 
 * Description:
 *
 
 * 
 *
 
 * Copyright: Copyright (c) 2006
 *
 
 * 
 *
 
 * Company:
 *
 
 * 
 * @author not attributable
 * @version 1.0
 */
public class MD5 {
 public MD5() {
 }
 /**
  * MD5加密 Computes the MD5 fingerprint of a string.
  * 
  * @return the MD5 digest of the input String
  */
 public static String compute(String inStr) {
  MessageDigest md5 = null;
  try {
   md5 = MessageDigest.getInstance("MD5");
  } catch (Exception e) {
   System.out.println(e.toString());
   e.printStackTrace();
   return "";
  }
  char[] charArray = inStr.toCharArray();
  byte[] byteArray = new byte[charArray.length];
  for (int i = 0; i
   byteArray[i] = (byte) charArray[i];
  }
  byte[] md5Bytes = md5.digest(byteArray);
  StringBuffer hexValue = new StringBuffer();
  for (int i = 0; i
   int val = ((int) md5Bytes[i]) & 0xff;
   if (val <16) {
    hexValue.append("0");
   }
   hexValue.append(Integer.toHexString(val));
  }
  return hexValue.toString();
 }
 /**
  * 验证MD5
  * 
  * @param compareStr
  * String 要比较的字符串
  * @param md5Str
  * String 加密后的字符串
  * @return boolean 验证通过返回true，否则返回false
  */
 public static boolean compare(String compareStr, String md5Str) {
  String computeStr = compute(compareStr);
  if (computeStr.equals(md5Str)) {
   return true;
  } else {
   return false;
  }
 }
 public static void main(String[] args) {
  System.out.println("aa:==" + compute("aa"));
  System.out.println(compare("aa", "4124bc0a9335c27f086f24ba207a4912"));
 }
}
2）对数据库提权漏洞问题：一、采取数据库系统账号与应用账号分离即创建应用程序需要访问的账号；二、采取收缩权限并设置指定IP地址可以远程访问数据库；
具体步骤：
A） delete from user where user="root" and host!="localhost";
B） flush privileges;
C） grant  select,insert,update,delete  on itwh.*  to myapp@"10.0.212.122"  identified by "youpassword";
D） flush privileges;
3）对用户密码进行加密保存；
此处使用了md5加密算法实现用户信息使用密文保存，这样带来的好处是运维人员也无法在未经用户授权情况下登陆用户的系统，查看某用户涉密相关信息等。
4）上传附件校验有黑名单转变成白名单方式，具体实现方式因与本文关联不大在此不再赘述。

推荐阅读
  • 数据库

    新浪笔试题

    1:有如下一段程序：packagea.b.c;publicclassTest{privatestaticinti0;publicintgetNext(){return ... [详细]
  • 数据库

    深入理解 SQL 视图、存储过程与事务

    深入理解 SQL 视图、存储过程与事务
    本文详细介绍了SQL中的视图、存储过程和事务的概念及应用。视图为用户提供了一种灵活的数据查询方式，存储过程则封装了复杂的SQL逻辑，而事务确保了数据库操作的完整性和一致性。 ... [详细]
  • 数据库

    2023年京东Android面试真题解析与经验分享

    2023年京东Android面试真题解析与经验分享
    本文由一位拥有6年Android开发经验的工程师撰写，详细解析了京东面试中常见的技术问题。涵盖引用传递、Handler机制、ListView优化、多线程控制及ANR处理等核心知识点。 ... [详细]
  • 数据库

    ASP.NET Core 3.1 中的Startup类

    Startup 类配置服务和应用的请求管道。Startup类ASP.NETCore应用使用 Startup 类，按照约定命名为 Startup。 Startup 类：可选择性地包括 ... [详细]
  • mysql

    网易严选Java开发面试：MySQL索引深度解析

    网易严选Java开发面试：MySQL索引深度解析
    本文详细记录了网易严选Java开发岗位的面试经验，特别针对MySQL索引相关的技术问题进行了深入探讨。通过本文，读者可以了解面试官常问的索引问题及其背后的原理。 ... [详细]
  • mysql

    探索电路与系统的起源与发展

    探索电路与系统的起源与发展
    本文回顾了电路与系统的发展历程，从电的早期发现到现代电子器件的应用。文章不仅涵盖了基础理论和关键发明，还探讨了这一学科对计算机、人工智能及物联网等领域的深远影响。 ... [详细]
  • 数据库

    SP框架数据操作指南

    本章详细介绍SP框架中的数据操作方法，包括数据查找、记录查询、新增、删除、更新、计数及字段增减等核心功能。通过具体示例和详细解析，帮助开发者更好地理解和使用这些方法。 ... [详细]
  • 数据库

    深入探讨DB2数据库性能优化策略

    本文详细介绍了IBM DB2数据库在大型应用系统中的应用，强调其卓越的可扩展性和多环境支持能力。文章深入分析了DB2在数据利用性、完整性、安全性和恢复性方面的优势，并提供了优化建议以提升其在不同规模应用程序中的表现。 ... [详细]
  • 数据库

    深入理解OAuth认证机制

    深入理解OAuth认证机制
    本文介绍了OAuth认证协议的核心概念及其工作原理。OAuth是一种开放标准，旨在为第三方应用提供安全的用户资源访问授权，同时确保用户的账户信息（如用户名和密码）不会暴露给第三方。 ... [详细]
  • 数据库

    优化ListView性能

    优化ListView性能
    本文深入探讨了如何通过多种技术手段优化ListView的性能，包括视图复用、ViewHolder模式、分批加载数据、图片优化及内存管理等。这些方法能够显著提升应用的响应速度和用户体验。 ... [详细]
  • 数据库

    C语言实现小写金额转换为大写金额

    在金融和会计领域，准确无误地填写票据和结算凭证至关重要。这些文件不仅是支付结算和现金收付的重要依据，还直接关系到交易的安全性和准确性。本文介绍了一种使用C语言实现小写金额转换为大写金额的方法，确保数据的标准化和规范化。 ... [详细]
  • 数据库

    网络攻防实战：从HTTP到HTTPS的演变

    网络攻防实战：从HTTP到HTTPS的演变
    本文通过一系列日记记录了从发现漏洞到逐步加强安全措施的过程，探讨了如何应对网络攻击并最终实现全面的安全防护。 ... [详细]
  • 数据库

    MySQL 数据库迁移指南：从本地到远程及磁盘间迁移

    MySQL 数据库迁移指南：从本地到远程及磁盘间迁移
    本文详细介绍了如何在不同场景下进行 MySQL 数据库的迁移，包括从一个硬盘迁移到另一个硬盘、从一台计算机迁移到另一台计算机，以及解决迁移过程中可能遇到的问题。 ... [详细]
  • 数据库

    科研单位信息系统中的DevOps实践与优化

    科研单位信息系统中的DevOps实践与优化
    本文探讨了某科研单位通过引入云原生平台实现DevOps开发和运维一体化，显著提升了项目交付效率和产品质量。详细介绍了如何在实际项目中应用DevOps理念，解决了传统开发模式下的诸多痛点。 ... [详细]
  • 数据库

    SQL数据库面试题解析

    本文深入探讨了SQL数据库中常见的面试问题，包括如何获取自增字段的当前值、防止SQL注入的方法、游标的作用与使用、索引的形式及其优缺点，以及事务和存储过程的概念。通过详细的解答和示例，帮助读者更好地理解和应对这些技术问题。 ... [详细]
author-avatar
威哥028_438
这个家伙很懒，什么也没留下！
Tags | 热门标签
RankList | 热门文章
PHP1.CN | 中国最专业的PHP中文社区 | DevBox开发工具箱 | json解析格式化 |PHP资讯 | PHP教程 | 数据库技术 | 服务器技术 | 前端开发技术 | PHP框架 | 开发工具 | 在线工具
Copyright © 1998 - 2020 PHP1.CN. All Rights Reserved | 京公网安备 11010802041100号 | 京ICP备19059560号-4 | PHP1.CN 第一PHP社区 版权所有