PostgreSQL SQL注入防范

SQL注入原理

什么是SQL注入

SQL注入是一种常见的数据库安全漏洞，攻击者通过在应用程序的输入中插入恶意SQL代码，从而操控数据库执行非预期的操作。

SQL注入的危害

• 数据泄露：获取敏感数据
• 数据篡改：修改或删除数据
• 权限提升：获取更高的数据库权限
• 服务器控制：通过数据库执行系统命令

SQL注入的工作原理

1. 应用程序接收用户输入
2. 将用户输入直接拼接到SQL查询中
3. 数据库执行包含恶意代码的SQL查询
4. 攻击者获取预期之外的结果

SQL注入防范措施

1. 使用参数化查询

参数化查询是防范SQL注入的最有效方法，它将SQL查询的结构与数据分离。

使用psycopg2参数化查询（Python）

import psycopg2

# 不安全的方式
def get_user_insecure(user_id):
    conn = psycopg2.connect(database="mydb", user="postgres", password="secret")
    cur = conn.cursor()
    # 容易受到SQL注入攻击
    cur.execute(f"SELECT * FROM users WHERE id = {user_id}")
    result = cur.fetchone()
    conn.close()
    return result

# 安全的方式：使用参数化查询
def get_user_secure(user_id):
    conn = psycopg2.connect(database="mydb", user="postgres", password="secret")
    cur = conn.cursor()
    # 使用参数化查询，防止SQL注入
    cur.execute("SELECT * FROM users WHERE id = %s", (user_id,))
    result = cur.fetchone()
    conn.close()
    return result

使用JDBC参数化查询（Java）

import java.sql.Connection;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;

// 安全的方式：使用PreparedStatement
public User getUserById(int userId) throws SQLException {
    Connection conn = getConnection();
    String sql = "SELECT * FROM users WHERE id = ?";
    PreparedStatement pstmt = conn.prepareStatement(sql);
    pstmt.setInt(1, userId); // 设置参数
    ResultSet rs = pstmt.executeQuery();
    // 处理结果
    User user = null;
    if (rs.next()) {
        user = new User();
        user.setId(rs.getInt("id"));
        user.setName(rs.getString("name"));
    }
    rs.close();
    pstmt.close();
    conn.close();
    return user;
}

2. 输入验证和过滤

• 类型验证：验证输入的数据类型是否符合预期
• 长度验证：限制输入的长度
• 格式验证：使用正则表达式验证输入格式
• 特殊字符过滤：过滤或转义特殊字符

import re

# 验证用户ID是否为整数
def validate_user_id(user_id):
    if not isinstance(user_id, int):
        raise ValueError("User ID must be an integer")
    return user_id

# 验证用户名格式
def validate_username(username):
    if not re.match(r'^[a-zA-Z0-9_]{3,20}$', username):
        raise ValueError("Username must be 3-20 characters long and contain only letters, numbers, and underscores")
    return username

3. 最小权限原则

• 创建专用用户：为每个应用创建专用的数据库用户
• 限制权限：只授予用户必要的最小权限
• 避免使用超级用户：应用程序不应使用超级用户连接数据库

-- 创建专用用户
CREATE USER app_user WITH PASSWORD 'secure_password';

-- 只授予必要的权限
GRANT CONNECT ON DATABASE mydb TO app_user;
GRANT SELECT, INSERT, UPDATE, DELETE ON TABLE users TO app_user;
GRANT USAGE ON SCHEMA public TO app_user;

-- 撤销不必要的权限
REVOKE ALL PRIVILEGES ON ALL TABLES IN SCHEMA public FROM app_user;

4. 安全的存储过程

• 使用安全定义者函数：谨慎使用SECURITY DEFINER属性
• 验证输入参数：在存储过程中验证输入参数
• 限制函数的权限：只授予必要的权限

-- 创建安全的存储过程
CREATE OR REPLACE FUNCTION get_user(p_user_id INT)
RETURNS TABLE (id INT, name TEXT, email TEXT)
LANGUAGE plpgsql
SECURITY DEFINER
SET search_path = public
AS $$
BEGIN
    -- 验证输入参数
    IF p_user_id <= 0 THEN
        RAISE EXCEPTION 'Invalid user ID';
    END IF;
    
    RETURN QUERY
    SELECT id, name, email
    FROM users
    WHERE id = p_user_id;
END;
$$;

-- 限制函数的执行权限
REVOKE EXECUTE ON FUNCTION get_user(INT) FROM PUBLIC;
GRANT EXECUTE ON FUNCTION get_user(INT) TO app_user;

5. 使用ORM框架

ORM（对象关系映射）框架可以自动处理SQL查询的参数化，减少SQL注入的风险。

使用Django ORM（Python）

# 安全的方式：使用Django ORM
from myapp.models import User

def get_user(user_id):
    # Django ORM自动使用参数化查询
    user = User.objects.get(id=user_id)
    return user

使用Hibernate（Java）

// 安全的方式：使用Hibernate
from javax.persistence.EntityManager;
from com.example.model.User;

public User getUserById(int userId) {
    EntityManager em = getEntityManager();
    // Hibernate自动使用参数化查询
    User user = em.find(User.class, userId);
    em.close();
    return user;
}

SQL注入检测方法

1. 日志分析

-- 配置详细的查询日志
ALTER SYSTEM SET log_statement = 'all';
ALTER SYSTEM SET log_line_prefix = '%t [%p]: [%l-1] user=%u,db=%d,app=%a,client=%h ';
SELECT pg_reload_conf();

-- 分析日志，查找可疑的SQL查询
-- 例如：包含UNION、DROP、DELETE等关键字的异常查询

2. 使用pg_stat_statements扩展

-- 安装pg_stat_statements扩展
CREATE EXTENSION pg_stat_statements;

-- 查看执行的SQL查询
SELECT queryid, query, calls, total_time
FROM pg_stat_statements
ORDER BY calls DESC
LIMIT 10;

-- 查找可疑的查询模式
SELECT query
FROM pg_stat_statements
WHERE query LIKE '%UNION%' OR query LIKE '%DROP%' OR query LIKE '%DELETE%';

3. 使用数据库防火墙

• pgAudit：PostgreSQL审计扩展
• pgauditlogtofile：将审计日志写入文件
• 第三方防火墙：如GreenSQL、PgHero等

常见的SQL注入攻击类型

1. 联合查询注入

-- 正常查询
SELECT * FROM users WHERE id = 1;

-- 注入后的查询
SELECT * FROM users WHERE id = 1 UNION SELECT username, password FROM admin_users;

2. 错误注入

-- 正常查询
SELECT * FROM users WHERE id = 1;

-- 注入后的查询，利用错误信息获取数据库信息
SELECT * FROM users WHERE id = 1 AND (SELECT 1 FROM pg_database WHERE datname = 'postgres' AND pg_sleep(5)) = 1;

3. 布尔盲注

-- 正常查询
SELECT * FROM users WHERE id = 1;

-- 注入后的查询，通过布尔结果判断数据
SELECT * FROM users WHERE id = 1 AND SUBSTRING(password, 1, 1) = 'a';

4. 时间盲注

-- 正常查询
SELECT * FROM users WHERE id = 1;

-- 注入后的查询，通过时间延迟判断数据
SELECT * FROM users WHERE id = 1 AND CASE WHEN SUBSTRING(password, 1, 1) = 'a' THEN pg_sleep(5) ELSE 0 END;

SQL注入防范最佳实践

1. 开发阶段

• 使用参数化查询：始终使用参数化查询或预编译语句
• 输入验证：对所有用户输入进行严格验证
• 最小权限原则：为应用程序使用最小权限的数据库用户
• 代码审查：定期进行代码审查，查找潜在的SQL注入漏洞

2. 测试阶段

• 渗透测试：定期进行SQL注入渗透测试
• 漏洞扫描：使用自动化工具扫描SQL注入漏洞
• 模糊测试：使用模糊测试工具测试输入验证

3. 生产环境

• 定期审计：定期审计数据库活动日志
• 监控异常行为：监控数据库的异常查询和访问模式
• 及时更新：保持数据库和应用程序的更新
• 使用WAF：在应用层使用Web应用防火墙

常见问题（FAQ）

Q1：参数化查询为什么能防止SQL注入？

A1：参数化查询将SQL查询的结构与数据分离，数据库引擎会先解析查询结构，然后再处理参数值，从而防止恶意代码被当作查询的一部分执行。

Q2：输入验证能完全防止SQL注入吗？

A2：输入验证可以减少SQL注入的风险，但不能完全防止。攻击者可能会绕过输入验证，因此必须结合其他防范措施，如参数化查询。

Q3：ORM框架能完全防止SQL注入吗？

A3：ORM框架可以大大减少SQL注入的风险，但如果不正确使用，仍然可能存在SQL注入漏洞。例如，使用原始SQL查询或不安全的查询构造方式。

Q4：如何检测是否存在SQL注入漏洞？

A4：可以通过以下方式检测：

• 手动测试：尝试输入特殊字符，如单引号、分号等
• 自动化工具：使用SQL注入扫描工具
• 日志分析：分析数据库日志，查找可疑查询

Q5：如何处理已发现的SQL注入漏洞？

A5：如果发现SQL注入漏洞，应立即采取以下措施：

• 暂停受影响的应用功能
• 修复漏洞，使用参数化查询
• 审计数据库，检查是否有数据被篡改
• 加强监控，防止类似攻击再次发生

Q6：存储过程会增加SQL注入的风险吗？

A6：如果存储过程不正确使用，可能会增加SQL注入的风险。但如果正确编写，使用参数化输入，存储过程可以减少SQL注入的风险。