防止SQL注入和XSS注入的方法总结

Posted 2021-03-07 littlehb

1、在OpenResty中添加naxsi加强防御

https://github.com/nbs-system/naxsi

安装方法

https://www.cnblogs.com/kgdxpr/p/9841456.html

2、防止SQl注入的思路和方法

    1.永远不要信任用户的输入。对用户的输入进行校验，可以通过正则表达式，或限制长度；对单引号和 双"-"进行转换等。
    
    2.永远不要使用动态拼装SQL，可以使用参数化的SQL或者直接使用存储过程进行数据查询存取。
   
    3.永远不要使用管理员权限的数据库连接，为每个应用使用单独的权限有限的数据库连接。
 
    4.不要把机密信息直接存放，加密或者hash掉密码和敏感的信息。
    
    5.应用的异常信息应该给出尽可能少的提示，最好使用自定义的错误信息对原始错误信息进行包装
    
    6.sql注入的检测方法一般采取辅助软件或网站平台来检测，软件一般采用sql注入检测工具jsky，网站平台就有亿思网站安全平台检测工具。MDCSOFT SCAN等。采用MDCSOFT-IPS可以有效的防御SQL注入，XSS攻击等

mysql安全问题（防范必知）

https://www.cnblogs.com/chenqionghe/p/4873665.html

3、在绝大多数位置，加上代码级判断，多重拦截攻击

package SQL_inject

import "regexp"

// 正则过滤sql注入的方法
// 参数 : 要匹配的语句
func FilteredSQLInject(to_match_str string) bool {
    //过滤 ‘
    //ORACLE 注解 --  /**/
    //关键字过滤 update ,delete
    // 正则的字符串, 不能用 " " 因为" "里面的内容会转义
    str := `(?:')|(?:--)|(/\\*(?:.|[\\n\\r])*?\\*/)|((select|update|and|or|delete|insert|trancate|char|chr|into|substr|ascii|declare|exec|count|master|into|drop|execute))`
    re, err := regexp.Compile(str)
    if err != nil {
        panic(err.Error())
        return false
    }
    return re.MatchString(to_match_str)
}

4、防止xss攻击

使用这个方法 :golang web xss攻击预防https://blog.csdn.net/liangguangchuan/article/details/54617685
https://blog.csdn.net/suiban7403/article/details/80565728?depth_1-utm_source=distribute.pc_relevant.none-task&utm_source=distribute.pc_relevant.none-task

5、两台（或多台)主机之间，采用防火墙白名单IP互通，对外只提供80端口，防止端口攻击

firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="172.16.110.55"   accept" 
#重新载入
firewall-cmd --reload

一旦出现SQL注入，一切都是零！谁的代码不按要求进行开发防注入，就处罚谁，而且要狠狠处罚，按月薪一半进行处罚，切切！