MyBatis #{} 和 ${}很多開發(fā)踩坑的 SQL 注入根源摘要MyBatis 是 Java 項目中最常用的持久層框架很多開發(fā)同學(xué)誤以為只要使用 MyBatis 就天然免疫 SQL 注入。但在大量代碼審計和 SRC 漏洞挖掘中發(fā)現(xiàn)絕大多數(shù) Java 業(yè)務(wù)系統(tǒng)的 SQL 注入漏洞根源就是混淆了#{}和${}。#{}使用預(yù)編譯安全${}直接字符串拼接極易產(chǎn)生注入。本文從底層原理、代碼示例、實戰(zhàn)漏洞場景、修復(fù)方式、代碼審計要點一次性講清楚幫助開發(fā)避開坑同時給白帽提供審計思路。本文內(nèi)容僅用于代碼審計、授權(quán)安全測試學(xué)習(xí)禁止用于未授權(quán)系統(tǒng)滲透。免責(zé)聲明本文技術(shù)內(nèi)容僅用于網(wǎng)絡(luò)安全學(xué)習(xí)、代碼審計、授權(quán)范圍內(nèi)安全評估。未經(jīng)目標(biāo)系統(tǒng)所有者書面許可禁止對任何系統(tǒng)進(jìn)行探測、滲透測試。違規(guī)操作帶來的全部法律責(zé)任由操作者自行承擔(dān)。0x00 前言做代碼審計的時候經(jīng)?？吹竭@樣的場景開發(fā)“我們項目用 MyBatis不會有 SQL 注入?！贝蜷_ Mapper 文件一眼就看到select * from order where orderId ${orderId}一個${}直接把整個防護(hù)廢掉SQL 注入直接誕生。很多初級開發(fā)分不清兩者差異只知道#{}是傳參${}也拿來接收前端可控參數(shù)。一句話核心結(jié)論?#{}預(yù)編譯、參數(shù)綁定防止 SQL 注入?${}直接字符串替換拼接存在 SQL 注入風(fēng)險0x01 底層原理拆解1.1 #{} 的執(zhí)行原理#{}是 MyBatis 的參數(shù)占位符底層使用 JDBCPreparedStatement預(yù)編譯機(jī)制。MyBatis 會把 SQL 模板提前發(fā)給數(shù)據(jù)庫SQL 結(jié)構(gòu)固定不變#{}對應(yīng)的位置變成?占位符。用戶傳入的參數(shù)只會作為參數(shù)值綁定進(jìn)去不會參與 SQL 語法解析。示例 Mapperselect idgetOrderById resultTypeOrder select id,order_no,status from t_order where order_id #{orderId} /select底層生成的 SQL 模板select id,order_no,status from t_order where order_id ?前端傳入?yún)?shù)1 or 11這個完整字符串只會被當(dāng)成一個值不會破壞原有 SQL 語法數(shù)據(jù)庫只會去匹配order_id等于字符串1 or 11這條記錄不會執(zhí)行注入邏輯。就算傳入單引號數(shù)據(jù)庫只會當(dāng)成普通字符串內(nèi)容不會閉合 SQL 語句天然防御 SQL 注入。1.2 ${} 的執(zhí)行原理${}是字符串直接替換。MyBatis 不會做預(yù)編譯只是簡單把變量的值原封不動替換到 SQL 語句中再把完整拼接后的 SQL 交給數(shù)據(jù)庫執(zhí)行。Mapper 示例select idgetOrderById resultTypeOrder select id,order_no,status from t_order where order_id ${orderId} /select前端傳入?yún)?shù)1 or 11替換之后最終交給數(shù)據(jù)庫執(zhí)行的 SQL 變成select id,order_no,status from t_order where order_id 1 or 11SQL 語法直接被破壞注入語句成功執(zhí)行這就是 SQL 注入。關(guān)鍵點({} 不會做任何轉(zhuǎn)義輸入什么就拼什么。只要){} 接收的參數(shù)是前端可控就存在注入風(fēng)險。0x02 什么時候才允許使用 ${}很多人看完直接把所有${}全部刪掉但${}并不是完全不能用。${} 適用場景傳入的內(nèi)容是開發(fā)可控的固定值不是用戶前端輸入。常見合法場景動態(tài)排序動態(tài)傳入排序字段、排序方向order by 后的字段名order by ${sortField} ${sortOrder}這里不能用#{}因為 order by 后面不能使用占位符數(shù)據(jù)庫不支持。??風(fēng)險如果 sortField、sortOrder 參數(shù)來自前端用戶可控輸入就會產(chǎn)生注入。正確做法后端做白名單校驗只允許預(yù)設(shè)的字段不在白名單直接拒絕。動態(tài)表名業(yè)務(wù)需要切換不同分表select * from ${tableName} where id#{id}tableName 必須后端代碼白名單校驗不允許直接接收前端傳入值。一句話總結(jié)${} 只用來拼接 SQL 語法結(jié)構(gòu)表名、排序字段絕對不能用來接收查詢條件的值。0x03 實戰(zhàn)漏洞案例SRC 中遇到的 ${} 注入漏洞漏洞場景業(yè)務(wù)接口前端傳入 orderId 參數(shù)后端 Mapper 直接使用 ${orderId} 拼接查詢。Mapper 代碼select idgetOrderInfo resultTypeOrder select order_no,create_time from t_order where order_id ${orderId} /select接口直接接收用戶傳入 orderId沒有任何校驗。PayloadorderId1 union select 1,version()--經(jīng)過 MyBatis 替換后 SQLselect order_no,create_time from t_order where order_id 1 union select 1,version()--直接觸發(fā)聯(lián)合查詢注入。雖然項目使用 MyBatis但是${}直接造成高危 SQL 注入。很多開發(fā)以為 MyBatis 自帶防護(hù)忽略了 ${} 的字符串拼接這是 Java 項目里最常見的注入根源。0x04 容易踩坑的幾個誤區(qū)誤區(qū) 1${} 會自動轉(zhuǎn)義單引號? 錯誤。${}不會做任何轉(zhuǎn)義原樣替換。#{}才會在預(yù)編譯階段處理特殊字符。誤區(qū) 2MyBatis 項目就一定不會 SQL 注入? 錯誤。MyBatis 只是框架安全取決于寫法。只要代碼使用${}接收用戶可控參數(shù)就會存在注入風(fēng)險。誤區(qū) 3加了 WAF就算用 ${} 也沒事? 錯誤。WAF 只是外層防護(hù)可以被繞過。代碼層面的拼接漏洞才是根源WAF 一旦被突破漏洞直接利用。誤區(qū) 4使用 ${} 的時候前端傳數(shù)字就安全? 錯誤。就算業(yè)務(wù)參數(shù)預(yù)期是數(shù)字攻擊者抓包修改參數(shù)傳入帶單引號的字符串依然觸發(fā)注入。不要依靠業(yè)務(wù)預(yù)期的參數(shù)類型來防護(hù)。0x05 ${} 場景的安全處理方案動態(tài)排序 / 動態(tài)表名當(dāng)業(yè)務(wù)確實必須使用${}order by、動態(tài)表名不能直接接收前端參數(shù)必須后端做白名單校驗。Java 偽代碼示例動態(tài)排序參數(shù)校驗// 白名單只允許預(yù)設(shè)的字段 ListString allowField Arrays.asList(id,create_time,order_no); if(!allowField.contains(sortField)){ // 不在白名單直接拋出異常拒絕查詢 throw new Exception(非法排序字段); }禁止直接把前端傳來的 sortField 直接丟進(jìn) Mapper 的 ${sortField}。禁止使用黑名單過濾黑名單可以被各種方式繞過白名單才可靠。0x06 代碼審計快速排查技巧白帽審計 Mapper 文件快速定位 MyBatis 注入風(fēng)險點審計 Mapper xml 文件搜索${找出所有${}變量向上追溯參數(shù)來源判斷變量是否可以由前端用戶控制如果前端可控并且沒有后端白名單校驗 → 判定存在 SQL 注入風(fēng)險如果變量是后端硬編碼、固定枚舉值則風(fēng)險較低。審計優(yōu)先級${用戶可控參數(shù)}→ 高危#{任意參數(shù)}→ 無注入風(fēng)險小提示很多項目使用 MyBatis-PlusMP 同樣遵循這個邏輯自定義 XML 里寫的 ${} 依舊存在注入。0x07 漏洞修復(fù)方案優(yōu)先替換 ${} 為 #{}查詢條件全部使用預(yù)編譯占位符從根源解決注入業(yè)務(wù)場景必須保留${}動態(tài)表名、排序字段后端增加嚴(yán)格白名單校驗非法參數(shù)直接攔截不進(jìn)入 SQL 查詢輸入校驗對業(yè)務(wù)參數(shù)增加格式校驗例如訂單號只能是數(shù)字?jǐn)?shù)據(jù)庫賬號最小權(quán)限限制業(yè)務(wù)賬號訪問 information_schema代碼審計掃描項目中所有${}梳理參數(shù)來源上線前安全測試重點測試使用 ${} 的接口。0x08 總結(jié)#{}底層預(yù)編譯參數(shù)綁定防止 SQL 注入查詢條件優(yōu)先使用${}直接字符串替換拼接 SQL用戶可控參數(shù)傳入 ${} 就極易產(chǎn)生注入${}不是不能用僅適用于拼接表名、排序字段這類 SQL 結(jié)構(gòu)且必須后端白名單校驗不能直接接收前端輸入使用 MyBatis 不等于免疫 SQL 注入框架不兜底代碼寫法決定安全代碼審計時檢索${快速定位風(fēng)險點是 Java Web 挖 SQL 注入的經(jīng)典思路。最后關(guān)于網(wǎng)絡(luò)安全技術(shù)儲備學(xué)好網(wǎng)絡(luò)安全不論是就業(yè)還是做副業(yè)賺錢都不錯但要學(xué)會網(wǎng)絡(luò)安全還是要有一個學(xué)習(xí)規(guī)劃。最后大家分享一份全套的網(wǎng)絡(luò)安全學(xué)習(xí)資料給那些想學(xué)習(xí)網(wǎng)絡(luò)安全的小伙伴們一點幫助對于0基礎(chǔ)小白入門如果你是零基礎(chǔ)小白想快速入門網(wǎng)絡(luò)安全是可以考慮的。一方面是學(xué)習(xí)時間相對較短學(xué)習(xí)內(nèi)容更全面更集中。二方面是可以找到適合自己的學(xué)習(xí)方案包括網(wǎng)安成長學(xué)習(xí)路線圖、SRC黑客文檔、護(hù)網(wǎng)行動、黑客必讀書單、面試題、學(xué)習(xí)視頻等教程。帶你從零基礎(chǔ)系統(tǒng)性的學(xué)好網(wǎng)絡(luò)安全需要的可以微信掃描下方CSDN官方認(rèn)證二維碼免費領(lǐng)取【保證100%免費】1.成長路線圖學(xué)習(xí)規(guī)劃要學(xué)習(xí)一門新的技術(shù)作為新手一定要先學(xué)習(xí)成長路線圖方向不對努力白費。對于從來沒有接觸過網(wǎng)絡(luò)安全的同學(xué)我們幫你準(zhǔn)備了詳細(xì)的學(xué)習(xí)成長路線圖學(xué)習(xí)規(guī)劃。可以說是最科學(xué)最系統(tǒng)的學(xué)習(xí)路線大家跟著這個大的方向?qū)W習(xí)準(zhǔn)沒問題。2.網(wǎng)安入門到進(jìn)階視頻教程很多朋友都不喜歡晦澀的文字我也為大家準(zhǔn)備了視頻教程其中一共有21個章節(jié)每個章節(jié)都是當(dāng)前板塊的精華濃縮。全套教程文末領(lǐng)取哈3.SRC黑客文檔大家最喜歡也是最關(guān)心的SRC技術(shù)文籍黑客技術(shù)也有收錄SRC技術(shù)文籍黑客資料由于是敏感資源這里不能直接展示哦全套教程文末領(lǐng)取哈4.護(hù)網(wǎng)行動資料其中關(guān)于HW護(hù)網(wǎng)行動也準(zhǔn)備了對應(yīng)的資料這些內(nèi)容可相當(dāng)于比賽的金手指5.黑客必讀書單隨著互聯(lián)網(wǎng)技術(shù)的飛速發(fā)展網(wǎng)絡(luò)安全已經(jīng)成為了當(dāng)今科技領(lǐng)域的一大熱點。這些SQL注入、CCNA、Web滲透、Linux服務(wù)器等以其強大的語言理解和防御能力正在守護(hù)著我們網(wǎng)絡(luò)世界。 那以下這些PDF籍就是非常不錯的學(xué)習(xí)資源。6.網(wǎng)絡(luò)安全崗面試題合集當(dāng)你自學(xué)到這里你就要開始思考找工作的事情了而工作繞不開的就是真題和面試題。這份完整版的網(wǎng)絡(luò)安全學(xué)習(xí)資料已經(jīng)上傳CSDN朋友們?nèi)绻枰梢晕⑿艗呙柘路紺SDN官方認(rèn)證二維碼免費領(lǐng)取【保證100%免費】