关于java:MyBatis-框架下-SQL-注入攻击的-3-种方式真是防不胜防

SQL 注入破绽作为 WEB 平安的最常见的破绽之一，在 java 中随着预编译与各种 ORM 框架的应用，注入问题也越来越少。老手代码审计者往往对 Java Web 利用的多个框架组合而心生畏惧，不知如何下手，心愿通过 Mybatis 框架使用不当导致的 SQL 注入问题为例，可能抛砖引玉给老手一些思路。

Mybatis 的 SQL 语句能够基于注解的形式写在类办法下面，更多的是以 xml 的形式写到 xml 文件。Mybatis 中 SQL 语句须要咱们本人手动编写或者用 generator 主动生成。编写 xml 文件时，MyBatis 反对两种参数符号，一种是 #，另一种是 $。比方：

`<select id="queryAll"  resultMap="resultMap">`
 `SELECT * FROM NEWS WHERE ID = #{id}`
`</select>`

Mybatis 框架下易产生 SQL 注入破绽的状况次要分为以下三种：

Select * from news where title like‘%#{title}%’

在这种状况下应用 #程序会报错，老手程序员就把# 号改成了 $, 这样如果 java 代码层面没有对用户输出的内容做解决势必会产生 SQL 注入破绽。

正确写法：

select * from news where tile like concat(‘%’,#{title},‘%’)

in 之后多个 id 查问时应用# 同样会报错，

Select * from news where id in (#{ids})

正确用法为应用 foreach，而不是将 #替换为 $

`id in`
`<foreach collection="ids" item="item" open="("separatosr="," close=")">`
`#{ids}` 
`</foreach>`

这种场景该当在 Java 层面做映射，设置一个字段 / 表名数组，仅容许用户传入索引值。这样保障传入的字段或者表名都在白名单外面。须要留神的是在 mybatis-generator 主动生成的 SQL 语句中，order by 应用的也是 $，而 like 和 in 没有问题。

咱们应用一个开源的 cms 来剖析，java sql 注入问题适宜应用反推，先搜寻 xml 查找可能存在注入的破绽点 –> 反推到 DAO–> 再到实现类 –> 再通过调用链找到前台 URL，找到利用点，话不多说走起

1、idea 导入我的项目

Idea 首页点击 Get from Version Control，输出 https://gitee.com/mingSoft/MCMS.git

下载实现，期待 maven 把我的项目下载实现

2、搜寻 $ 关键字

Ctrl+shift+F 调出 Find in Path，筛选后缀 xml，搜寻 $ 关键字

依据文件名带 Dao 的 xml 为咱们须要的，以 IContentDao.xml 为例，双击关上，ctrl +F 搜寻 $, 查找到 16 个前三个为数据库抉择，跳过，

持续往下看到疑似 order by 临时搁置

持续往下看发现多个一般拼接，此点更容易利用，咱们以此为例深刻，只查找 ids 从前端哪里传入

3、搜寻映射对象

Mybatis 的 select id 对应要映射的对象名，咱们以 getSearchCount 为关键字搜寻映射的对象

搜到了 IContentDao.java,IContentDaoimpl.java 和 McmsAction.java，别离对应映射的对象，对象的实现类和前端 controler，间接跳转到 controler 类

发现只有 categoryIds 与指标参数 ids 类似，需进一步确认，返回到 IContentDao.java 依照规范流持续反推

找到 ids 为 getSearchCount 的最初一个参数，alt+f7 查看调用链

调转到 ContentBizImpl，确认前台参数为 categoryIds

返回到 McmsAction，参数由 BasicUtil.getString 接管，

跟进 BasicUtil.getString

持续跳到 SpringUtil.getRequest()，前端未做解决，sql 注入实锤

4、破绽确认

我的项目运行起来，结构 sql 语句 http://localhost:8080/ms-mcms/mcms/search.do?categoryId=1%27)%20%20or+updatexml(1,concat(0x7e,(SELECT+%40%40version),0x7e),1)%23 失去 mysql 的版本 5.7.27，验证注入存在。

以上就是 mybatis 的 sql 注入审计的根本办法，咱们没有剖析的几个点也有问题，老手能够尝试剖析一下不同的注入点来实操一遍，置信会有更多的播种。当咱们再遇到相似问题时能够思考：

1、Mybatis 框架下审计 SQL 注入，重点关注在三个方面 like，in 和 order by

2、xml 形式编写 sql 时，能够先筛选 xml 文件搜寻 $, 一一剖析，要特地留神 mybatis-generator 的 order by 注入

3、Mybatis 注解编写 sql 时办法相似

4、java 层面应该做好参数查看，假设用户输出均为歹意输出，防备潜在的攻打

关于java:MyBatis-框架下-SQL-注入攻击的-3-种方式真是防不胜防

送大家以下 java 学习材料，文末有支付形式

前言

应用预编译，$ 应用拼接 SQL。

1、含糊查问

2、in 之后的多个参数

3、order by 之后

二、实战思路

三、总结