Web安全與防護(hù) （微課版） 課件 03-1 項(xiàng)目三 任務(wù)一登錄認(rèn)證功能實(shí)現(xiàn)；03-2 項(xiàng)目三 任務(wù)二SQL注入漏洞分類的理解

項(xiàng)目三

安全的數(shù)據(jù)庫交換Web安全與防護(hù)本任務(wù)要點(diǎn)學(xué)習(xí)目標(biāo)SQL的基本操作。動(dòng)態(tài)網(wǎng)頁的實(shí)現(xiàn)方法。能夠?qū)崿F(xiàn)數(shù)據(jù)庫的增刪查改。能夠使用PHP實(shí)現(xiàn)數(shù)據(jù)庫交互功能。任務(wù)一

登錄認(rèn)證功能實(shí)現(xiàn)目錄CONTENTS01/熟悉SQL的基本操作02/熟悉動(dòng)態(tài)網(wǎng)頁的實(shí)現(xiàn)方法SQL的基本操作01什么是數(shù)據(jù)庫？數(shù)據(jù)庫是指按照一定數(shù)據(jù)模型組織、存儲(chǔ)和管理數(shù)據(jù)的集合。常見的數(shù)據(jù)庫有關(guān)系型數(shù)據(jù)庫（如MySQL、Oracle、SQLServer等）和非關(guān)系型數(shù)據(jù)庫（如MongoDB、Redis、Cassandra等）。關(guān)系型數(shù)據(jù)庫是目前應(yīng)用最廣泛的數(shù)據(jù)庫之一，其數(shù)據(jù)以表格的形式進(jìn)行組織和存儲(chǔ)，由多個(gè)數(shù)據(jù)表之間的關(guān)系來表達(dá)數(shù)據(jù)間的聯(lián)系。SQL是關(guān)系型數(shù)據(jù)庫最常用的查詢語言，可用于對(duì)數(shù)據(jù)庫中的數(shù)據(jù)進(jìn)行增刪改查等操作。常用的SQL命令包括：SELECT：查詢數(shù)據(jù)、INSERT：插入數(shù)據(jù)、UPDATE：更新數(shù)據(jù)、DELETE：刪除數(shù)據(jù)SELECT：查詢數(shù)據(jù)的基本用法完整代碼見教材2.4.1INSERT：插入數(shù)據(jù)的基本用法SQL的基本操作01SELECTcolumn1,column2,...FROMtable_nameWHEREcondition;SELECT語句用于從一個(gè)或多個(gè)表格中選取數(shù)據(jù)，并返回查詢結(jié)果。其中，column1，column2，

...表示需要查詢的列名，table_name表示要查詢的表格名稱

，condition表示查詢條件。SELECT*FROMusers;例如，查詢一個(gè)名為users的表格中的所有數(shù)據(jù)：INSERT語句用于向一個(gè)表格中插入新數(shù)據(jù)。其中，table_name表示要插入數(shù)據(jù)的表格名稱，column1,column2,...表示需要插入數(shù)據(jù)的列名，value1,value2,...表示要插入的數(shù)據(jù)值。INSERT

INTOtable_name(column1,column2,...)VALUES(value1,value2,...);例如，向一個(gè)名為users的表格中插入一條新數(shù)據(jù)，其username列的值為"Tom"，password列的值為"123456"。INSERT

INTOusers(username,password)VALUES('Tom','123456');UPDATE：更新數(shù)據(jù)的基本用法完整代碼見教材2.4.1DELETE：刪除數(shù)據(jù)的基本用法SQL的基本操作01UPDATE語句用于更新一個(gè)或多個(gè)表格中的數(shù)據(jù)。其中，table_name表示要更新數(shù)據(jù)的表格名稱，column1=value1,column2=value2,...表示需要更新的列名和對(duì)應(yīng)的數(shù)據(jù)值，condition表示更新數(shù)據(jù)的條件。例如，將一個(gè)名為users的表格中，username為"Tom"的記錄的password更新為"654321"。INSERT語句用于向一個(gè)表格中插入新數(shù)據(jù)。其中，table_name表示要插入數(shù)據(jù)的表格名稱，column1,column2,...表示需要插入數(shù)據(jù)的列名，value1,value2,...表示要插入的數(shù)據(jù)值。例如，向一個(gè)名為users的表格中插入一條新數(shù)據(jù)，其username列的值為"Tom"，password列的值為"123456"。UPDATEtable_nameSETcolumn1=value1,column2=value2,...WHEREcondition;UPDATEusersSET

password='654321'

WHEREusername='Tom';DELETE

FROMtable_nameWHEREcondition;DELETE

FROMusersWHEREusername='Tom';什么是動(dòng)態(tài)網(wǎng)頁？動(dòng)態(tài)頁面通常指的是網(wǎng)頁內(nèi)容不是靜態(tài)的，而是根據(jù)用戶請(qǐng)求、數(shù)據(jù)庫查詢結(jié)果或其他實(shí)時(shí)數(shù)據(jù)生成的。動(dòng)態(tài)頁面通過服務(wù)器端腳本、數(shù)據(jù)庫、模板引擎、框架、CMS、API和云服務(wù)等技術(shù)實(shí)現(xiàn)，以提供個(gè)性化和交互性強(qiáng)的用戶體驗(yàn)。動(dòng)態(tài)網(wǎng)頁的實(shí)現(xiàn)方法02Python提供了一個(gè)名為“sqlite3”的內(nèi)置模塊來連接和操作SQLite數(shù)據(jù)庫。此外，Python還有流行的庫它們提供了更高級(jí)別的抽象，使開發(fā)人員可以更容易地與多種數(shù)據(jù)庫交互。PythonJava開發(fā)人員通常使用JavaDatabaseConnectivity（JDBC）API來連接和操作數(shù)據(jù)庫。JDBC是Java平臺(tái)的標(biāo)準(zhǔn)API，提供了一組標(biāo)準(zhǔn)接口，用于連接到不同類型的數(shù)據(jù)庫。JavaC#開發(fā)人員通常使用.NETFramework中的ADO.NET庫來連接和操作數(shù)據(jù)庫。ADO.NET提供了一組用于連接到不同類型數(shù)據(jù)庫的類和接口，開發(fā)人員可以使用這些類和接口來執(zhí)行常見的數(shù)據(jù)庫操作。C#PHP開發(fā)人員通常使用PHPDataObjects（PDO）擴(kuò)展庫來連接和操作數(shù)據(jù)庫。PDO提供了一個(gè)跨數(shù)據(jù)庫的抽象層，使開發(fā)人員可以更輕松地在不同的數(shù)據(jù)庫之間切換，并且可以使用相同的API來執(zhí)行常見的數(shù)據(jù)庫操作。PHP動(dòng)態(tài)網(wǎng)頁的實(shí)現(xiàn)方法02在Web應(yīng)用程序中，用戶身份的認(rèn)證是必不可少的。通常情況下，用戶的身份信息需要存儲(chǔ)在數(shù)據(jù)庫中。首先，我們需要在數(shù)據(jù)庫中創(chuàng)建一個(gè)表來存儲(chǔ)用戶的身份信息。為了保證密碼的安全性，通常將密碼加密后存儲(chǔ)在數(shù)據(jù)庫中。完整代碼見教材3.1.2動(dòng)態(tài)網(wǎng)頁的實(shí)現(xiàn)方法02我們需要校驗(yàn)用戶提供的用戶名和密碼是否正確，可以從blog_admin表中查詢數(shù)據(jù)庫中記錄的用戶名和密碼與用戶提交的用戶名和密碼是否一致。SELECT*FROMblog_adminWHEREusername=?AND

password=?為了保證系統(tǒng)的安全性，我們需要對(duì)用戶輸入的敏感信息使用MD5算法進(jìn)行加密。接著，我們通過SQL語句查詢數(shù)據(jù)庫中是否有對(duì)應(yīng)的記錄。如果存在，則說明用戶輸入的用戶名和密碼是正確的；否則，就說明輸入的用戶名或密碼有誤。完整代碼見教材3.1.2動(dòng)態(tài)網(wǎng)頁的實(shí)現(xiàn)方法02當(dāng)用戶的登錄請(qǐng)求得到響應(yīng)時(shí)，我們需要記錄用戶的登錄日志。我們記錄用戶登錄信息，包括IP地址、登錄時(shí)間和是否認(rèn)證失敗等字段。此外，我們還設(shè)置了限制IP地址在單位時(shí)間內(nèi)的認(rèn)證次數(shù)，以防止惡意攻擊。如果在限制時(shí)間內(nèi)認(rèn)證失敗次數(shù)超過5次，則不允許用戶進(jìn)行認(rèn)證。完整代碼見教材3.1.2動(dòng)態(tài)網(wǎng)頁的實(shí)現(xiàn)方法02通過以上步驟，我們就可以實(shí)現(xiàn)用戶的身份認(rèn)證，并保證了系統(tǒng)的安全性。為了實(shí)現(xiàn)博客文章的存儲(chǔ)，我們需要在數(shù)據(jù)庫中創(chuàng)建一個(gè)blog_article表，其中包含文章標(biāo)題、作者、發(fā)布時(shí)間、文章內(nèi)容、分類和文章ID等字段。完整代碼見教材3.1.3動(dòng)態(tài)網(wǎng)頁的實(shí)現(xiàn)方法02在PHP中，我們可以使用mysqli_query函數(shù)來執(zhí)行SQL語句，包括查詢和修改操作。對(duì)于文章的顯示和編輯操作，我們需要根據(jù)文章的ID從blog_article表中查詢相應(yīng)的文章信息。完整代碼見教材3.1.3動(dòng)態(tài)網(wǎng)頁的實(shí)現(xiàn)方法02對(duì)于評(píng)論的顯示和添加操作，我們需要根據(jù)文章的ID從blog_comment表中查詢相應(yīng)的評(píng)論信息以上是基本的文章存儲(chǔ)和顯示邏輯為了查詢文章，我們需要使用SQL的SELECT語句，并在WHERE子句中使用LIKE操作符來模糊匹配文章的標(biāo)題和分類。完整代碼見教材3.1.4動(dòng)態(tài)網(wǎng)頁的實(shí)現(xiàn)方法02在查詢文章之后，我們需要對(duì)查詢結(jié)果進(jìn)行分頁處理，以便在頁面上顯示多個(gè)搜索結(jié)果。我們可以使用PHP的$_GET變量來實(shí)現(xiàn)分頁以上我們就實(shí)現(xiàn)了網(wǎng)站的文章搜索功能。用戶可以輸入關(guān)鍵字搜索相關(guān)的文章，并在分頁中查看多個(gè)搜索結(jié)果。課堂實(shí)踐一、任務(wù)名稱：實(shí)現(xiàn)動(dòng)態(tài)網(wǎng)頁功能二、任務(wù)內(nèi)容：編輯博客系統(tǒng)源碼實(shí)現(xiàn)博客文章的編輯和查詢。三、工具需求：PHP開發(fā)工具四、任務(wù)要求：完成實(shí)踐練習(xí)后，由老師檢查完成情況。課堂思考一、如何選擇關(guān)系型和非關(guān)系型數(shù)據(jù)庫？什么情況下適合使用每種類型的數(shù)據(jù)庫？二、如何編寫高效的SQL查詢？三、如何平衡規(guī)范化和性能？四、如何使用索引來提高查詢性能？課后拓展：權(quán)限控制安全測試請(qǐng)同學(xué)們對(duì)我們的數(shù)據(jù)庫系統(tǒng)進(jìn)行測試，特別關(guān)注數(shù)據(jù)庫的權(quán)限管理和認(rèn)證。找出用戶權(quán)限控制機(jī)制和數(shù)據(jù)訪問中存在的潛在問題，并思考如何進(jìn)行改進(jìn)和解決。THANK

YOUToBeContinued項(xiàng)目三

安全的數(shù)據(jù)庫交換Web安全與防護(hù)本任務(wù)要點(diǎn)學(xué)習(xí)目標(biāo)SQL注入漏洞的概念。SQL注入漏洞的分類。SQL注入漏洞的危害。熟悉SQL注入漏洞的類型。掌握SQL注入漏洞的特點(diǎn)任務(wù)二

SQL注入漏洞分類的理解目錄CONTENTS01/SQL注入漏洞的概念02/SQL注入漏洞的分類03/SQL注入漏洞的危害SQL注入漏洞的概念01什么是SQL注入漏洞的概念？SQL是操作數(shù)據(jù)庫數(shù)據(jù)的結(jié)構(gòu)化查詢語言，網(wǎng)頁的應(yīng)用數(shù)據(jù)和后臺(tái)數(shù)據(jù)庫中的數(shù)據(jù)進(jìn)行交互時(shí)會(huì)采用SQL。而SQL注入是將Web頁面的原URL、表單域或數(shù)據(jù)包輸入的參數(shù)，修改拼接成SQL語句，傳遞給Web服務(wù)器，進(jìn)而傳給數(shù)據(jù)庫服務(wù)器以執(zhí)行數(shù)據(jù)庫命令。如果Web應(yīng)用程序的開發(fā)人員對(duì)用戶所輸入的數(shù)據(jù)或cookie等內(nèi)容不進(jìn)行過濾或驗(yàn)證(即存在注入點(diǎn))就直接傳輸給數(shù)據(jù)庫，就可能導(dǎo)致拼接的SQL被執(zhí)行，獲取對(duì)數(shù)據(jù)庫的信息以及提權(quán)，發(fā)生SQL注入攻擊。SQL注入漏洞的概念01另外，在網(wǎng)站開發(fā)過程中，開發(fā)人員使用動(dòng)態(tài)字符串構(gòu)造SQL語句，用來創(chuàng)建所需的應(yīng)用，這種情況下SQL語句在程序的執(zhí)行過程中被動(dòng)態(tài)的構(gòu)造使用，可以根據(jù)不同的條件產(chǎn)生不同的SQL語句.通過把惡意的SQL命令插入到Web表單中提交、輸入域名或頁面請(qǐng)求的查詢字符串中，注入到后臺(tái)數(shù)據(jù)庫引擎，欺騙服務(wù)器執(zhí)行惡意的SQL命令SQL注入漏洞沒有對(duì)輸入的數(shù)據(jù)進(jìn)行過濾(過濾輸入)；沒有對(duì)發(fā)送到數(shù)據(jù)庫的數(shù)據(jù)進(jìn)行轉(zhuǎn)義(轉(zhuǎn)義輸出)。原因SQL注入漏洞的概念01SQL注入漏洞的分類02字符串類型的注入注入點(diǎn)數(shù)據(jù)類型數(shù)字類型的注入、字符串類型的注入、搜索型注入數(shù)據(jù)提交方式GET注入、POST注入、COOKIE注入、HTTP頭注入獲取信息方式基于布爾的盲注、基于時(shí)間的盲注、基于報(bào)錯(cuò)的注入、聯(lián)合查詢注入、堆查詢注入SQL注入漏洞的危害031數(shù)據(jù)庫信息泄漏數(shù)據(jù)庫中存放的用戶的隱私信息的泄露。2網(wǎng)頁篡改通過操作數(shù)據(jù)庫對(duì)特定網(wǎng)頁進(jìn)行篡改。3網(wǎng)站傳播惡意軟件修改數(shù)據(jù)庫一些字段的值，嵌入網(wǎng)馬鏈接，進(jìn)行掛馬攻擊。4數(shù)據(jù)庫被惡意操作數(shù)據(jù)庫服務(wù)器被攻擊，數(shù)據(jù)庫的系統(tǒng)管理員帳戶被竄改。5服務(wù)器被遠(yuǎn)程控制被安裝后門，經(jīng)由數(shù)據(jù)庫服務(wù)器提供的操作系統(tǒng)支持，讓黑客得以修改或控制操作系統(tǒng)。6破壞硬盤數(shù)據(jù)癱瘓全系統(tǒng)。課堂實(shí)踐一、任務(wù)名稱：探索SQL注入基礎(chǔ)知識(shí)二、任務(wù)內(nèi)容：通過模擬SQL注入攻擊，理解SQL注入的原理、類型、危害，并學(xué)習(xí)基本的防御措施。三、工具需求：Burp、數(shù)據(jù)庫管理工具四、任務(wù)要求：完成實(shí)踐練習(xí)后，由老師