MyOracleX — Wed, 11 May 2011 07:46:00 GMT

创徏用户�Q?span style="font-size: 13px; "> public Long createTempUser(TempUser user) {

        TempUser tempuser = this.findTempUserByName(user.getYhm());
        user.setMm(createEncryptPSW(user.getMm().trim()));  //生成加密密码
        if (tempuser != null) {
            user.setId(tempuser.getId());
            this.getHibernateTemplate().merge(user);
        } else {
            this.getHibernateTemplate().saveOrUpdate(user);
        }
        return user.getId();
    }

createEncryptPSW�Q�加密方法）�Q?span style="font-size: 13px; "> private String createEncryptPSW(String psw) {

        MessageDigest messagedigest;
        try {
            messagedigest = MessageDigest.getInstance("MD5");
            messagedigest.update(psw.getBytes("UTF8"));
            byte abyte0[] = messagedigest.digest();
            return (new BASE64Encoder()).encode(abyte0);
        } catch (Exception e) {
            throw new RuntimeException("加密��p�|�Q?/span>" + e.getMessage());
        }
    }

��d��Q�解密）�Q?span style="font-size: 13px; ">

public Long userCer(String userName, String password) {
        TempUser user = this.findTempUserByName(userName);
        if (null == user) return 0L;
        boolean flag = createEncryptPSW(password.trim()).equals(user.getMm());
        if (flag) return user.getId();
        return 0L;
    }

MyOracleX 2011-05-11 15:46 发表评论

怎样使用最方便的F*Q术（FireFox��）

MyOracleX — Mon, 09 May 2011 15:44:00 GMT

只有注册用户��d��后才能阅读该文�?a href='http://www.tkk7.com/MyOracleX/archive/2011/05/09/349883.html'>阅读全文

MyOracleX 2011-05-09 23:44 发表评论

MyOracleX — Tue, 23 Nov 2010 09:33:00 GMT

SQL注射原理

SQL 注射能��d��者绕�q�认证机�Ӟ��完全控制�q�程服务器上的数据库。SQL是结构化查询语言的简�U�ͼ�它是讉K��数据库的事实标准。目前，大多数Web应用都��? SQL数据库来存放应用�E�序的数据。几乎所有的Web应用在后台都使用某种SQL数据库。跟大多数语�a�一��P��SQL语法允许数据库命令和用户数据��h��在一 ��L��。如果开发�h员不�l�心的话�Q�用��h��据就有可能被解释成命令，�q�样的话�Q�远�E�用户就不仅能向Web应用输入数据�Q�而且�q�可以在数据库上执行��L��命��o了�?/span>

登陆验证

�? 在以一个需要用戯��n份认证的��单的Web应用�E�序��Z��q�行讲解。假定这个应用程序提供一个登录页面，要求用户输入用户名和口��o。用户通过HTTP��h��发�? 他们的用户名和口令，之后�Q�Web应用�E�序��查用户传递来用户名和口��o跟数据库中的用户名和口��o是否匚w��。这�U�情况下�Q�会要求在SQL数据库中使用一个数据库表�?/span>

对一个用戯��行认证，实际上就是将用户的输入即用户名和口��o跟表中的各行�q�行比较�Q�如果跟某行中的用户名和口��o跟用��L��输入完全匚w��Q�那么该用户��׃��通过认证�?/span>

假如后台的sql语句时这��h��接的

select id from test where username='"+myname+"' and password='"+mypasswd+"' ";

表面上看�Q�如果用户名和口令对匚w��Q�那么该用户通过认证�Q�否则，该用户不会通过认证——但是，事实果真如此吗？非也�Q�读者也许已�l�注意到了，�q�里�q�没有对SQL命��o�q�行��N��Q�所�?strong style="line-height: 22px">��d��者完全能够在用户名或者口令字�D�中注入SQL语句�Q�从而改变SQL查询。�ؓ此，我们仔细研究一下上面的SQL查询字符�?

上述代码认�ؓ字符串username和password都是数据�Q�不�q�，��d��者却可以随心所�Ʋ地输入��M��字符 。如果一位攻击者输入的用户名�ؓ

’OR1=1�?/div>

而口令�ؓ

双划�W�号--告诉SQL解析器，双��的东西全部是注释�Q�所以不必理会。这��P��查询字符串相当于�Q?/span>

select id from test where username='' or 1=1;

�? 今的SELECT语句跟以前的已经大相径庭了，因�ؓ现在只要用户名�ؓ长度为零的字�W�串''�?=1�q�两个条件中一个�ؓ真，��p��回用��h��识符ID——我们知道，1=1是恒为真的。所以这个语句将�q�回user_table中的所有ID。在此种情况下，��d��者在username字段攑օ�的是SQL指��o 'OR1=1--而非数据�?/span>

更�ؓ严重的情冉|��当username对应的是'OR1=1;DROPTABLEuser_table;--

数据库中执行的sql语句��变成了�Q?/span>

select id from test where username='' or 1=1;drop table test

�q�个语句��执行句法上完全正确的SELECT语句�Q��ƈ利用drop命��o清空test表�?/span>

应对�{�略

问题的关键就是不要用string构造sql语句�Q�这样就不会利用输入的参数构造sql语句了。所以要用PreparedStatement替换Statement�Q�即用占位符作�ؓ实参定义sql语句�Q�从而避免sql注入��d��?/span>

不管什么框�Ӟ��q�是�U�JDBC�Q�只用Preparedstatement,一定要用占位符作�ؓ实参来构造sql�Q�或hql�Q�语句�?/span>

String sql= "select * from test where usernmae=? and password=? " ;
PreparedStatement psm=conn.preparedStatement(sql);
psm.setString(1,myname);
psm.setString(2,mypasswd);
Result rs=psm.executeQuery();
if (rs.next){
rs.close();
con.close();
return false ;
}
else {
rs.close();
con.close();
return true ;
}

MyOracleX 2010-11-23 17:33 发表评论

亚洲五月综合网色九月色,亚洲精品福利你懂,亚洲精品色播一区二区

怎样使用最方便的F*Q术（FireFox���）

怎样使用最方便的F*Q术（FireFox��）