1. Java SQL注入攻防全景解析
从事Java开发十年，SQL注入始终是Web安全领域的头号威胁。去年参与某金融系统渗透测试时，通过一个简单的order by注入点，我们直接获取了整个客户数据库权限。这种漏洞的危害性远超常人想象，而防御的关键在于理解攻击原理和掌握代码审计方法。
SQL注入本质上是将恶意SQL语句拼接到应用程序查询中，利用的是输入验证不严格的缺陷。在Java生态中，从传统的JDBC到主流的MyBatis/Hibernate，每个技术栈都有特定的风险场景。比如MyBatis的${}占位符问题，就是近年企业级应用的高发漏洞点。
2. SQL注入核心攻击模式剖析
2.1 基础注入类型实战演示
以用户登录场景为例，看这个典型漏洞代码：
String sql = "SELECT * FROM users WHERE username='" + request.getParameter("user") + "' AND password='" + request.getParameter("pass") + "'";攻击者输入admin'--作为用户名时，SQL将变成：
SELECT * FROM users WHERE username='admin'--' AND password='xxx'--注释掉了密码验证，直接以管理员身份登录。
2.2 高阶攻击手法详解
盲注攻击示例：
// 漏洞代码 String id = request.getParameter("id"); Statement stmt = conn.createStatement(); ResultSet rs = stmt.executeQuery("SELECT * FROM products WHERE id=" + id); // 攻击payload http://example.com/product?id=1 AND (SELECT COUNT(*) FROM users)>5通过判断页面返回差异，可逐步推断出数据库信息。
时间盲注技巧：
1 AND IF(MID(VERSION(),1,1)='5',SLEEP(5),0)根据响应延迟判断MySQL版本是否为5.x系列。
3. 企业级代码审计方法论
3.1 审计工具链配置
我的渗透测试工作台常备这些工具：
- Burp Suite：拦截修改HTTP请求
- SQLmap：自动化注入检测
- CodeQL：静态代码分析
- 自定义词法分析脚本：快速定位危险代码模式
3.2 重点审计模式清单
- 字符串拼接查询：
String query = "SELECT * FROM " + tableName; // 高危！- MyBatis动态SQL风险：
<select id="findUser"> SELECT * FROM users WHERE username LIKE '%${name}%' <!-- 应改用#{} --> </select>- HQL注入点：
Query query = session.createQuery( "from User where name='" + userName + "'"); // 需要参数化处理4. 深度防御方案设计
4.1 参数化查询规范
JDBC正确写法：
PreparedStatement stmt = conn.prepareStatement( "SELECT * FROM users WHERE username=? AND password=?"); stmt.setString(1, username); stmt.setString(2, password);MyBatis最佳实践：
<select id="getUser" resultType="User"> SELECT * FROM users WHERE username=#{name} AND password=#{pass} </select>4.2 防御增强措施
- 输入验证层：
// 白名单校验 if (!Pattern.matches("^[a-zA-Z0-9_]+$", input)) { throw new InvalidInputException(); }- ORM框架安全配置：
# Hibernate配置 hibernate.query.plan_cache_max_size: 2048 hibernate.query.in_clause_parameter_padding: true- 运行时防护：
// 使用SQL防火墙 SQLFilter.apply("SELECT * FROM users WHERE id=" + input);5. 典型漏洞修复案例
某电商平台历史订单查询接口存在注入：
// 原始漏洞代码 public List<Order> findOrders(String filter) { String sql = "SELECT * FROM orders WHERE " + filter; //... } // 修复方案 public List<Order> findOrders(Map<String, Object> filters) { CriteriaBuilder cb = entityManager.getCriteriaBuilder(); CriteriaQuery<Order> query = cb.createQuery(Order.class); Root<Order> root = query.from(Order.class); // 动态构建安全查询 List<Predicate> predicates = new ArrayList<>(); filters.forEach((k,v) -> predicates.add(cb.equal(root.get(k), v))); query.where(predicates.toArray(new Predicate[0])); return entityManager.createQuery(query).getResultList(); }6. 渗透测试实战技巧
手工注入探测流程：
- 寻找可能存在注入的点（GET/POST参数、Headers、Cookies）
- 测试基础注入字符：
'、"、)、--、# - 观察响应差异（错误信息、空结果、延迟）
- 逐步构造复杂payload获取数据
SQLmap高级用法：
sqlmap -u "http://example.com/search?id=1" \ --level=5 --risk=3 \ --dbms=mysql \ --technique=B \ --batch7. 企业安全开发规范
编码阶段禁令：
- 禁止动态拼接SQL语句
- 禁止使用Statement接口
- 禁止ORM框架的native SQL拼接
Code Review检查项：
- 所有数据库操作是否使用预编译
- MyBatis中是否禁用${}
- 输入参数是否经过白名单校验
安全测试用例：
@Test public void testSQLInjectionVulnerability() { mockMvc.perform(get("/users?name=admin' OR '1'='1")) .andExpect(status().isBadRequest()); }在金融行业项目中，我们建立了SQL注入防御的黄金标准：所有数据库访问必须通过经过安全审计的DAO层工具类，动态查询必须使用严格的Criteria API，所有用户输入必须经过业务层校验。这套标准实施后，在近三年的安全扫描中未再发现SQL注入漏洞。
