¿Las declaraciones preparadas evitarán los ataques de inyección sql?

Question

Consideremos un caso hipotético en el que tengo que recuperar algunos detalles de la base de datos basado en el ID de usuario y el código de ejemplo es la siguiente

private String getpassword(String username) { 

PreparedStatement statement = null; 
ResultSet resultSet = null; 
Connection conn = null; 

final String selectQuery = "SELECT password FROM " + "users WHERE username=?"; 
try { 
    conn = dataSource.getConnection(); 
    statement = conn.prepareStatement(selectQuery); 
    statement.setString(1, username); 
    resultSet = statement.executeQuery(); 
    if (resultSet.next()) { 
     } 

} catch (SQLException e) { 
// log it 
} 
//return 
} 

Este nombre de usuario es en realidad viene del lado del cliente y el usuario puede manipular los datos (si él quiere) Entonces, preparedStatements evitará aceptar presupuestos y enviará solo la forma filtrada de SQL a la base de datos.

Por ejemplo: puedo proporcionar username = 'o 1 = 1 y será una declaración SQL válida. Pero si el controlador escapa de las cotizaciones de las entradas del usuario, entonces evitarían las inyecciones de sql.

¿Cuál es la comprensión general de la misma?

Answer 1

De acuerdo con esto, sí: http://en.wikipedia.org/wiki/SQL_injection

En ese caso, la declaración es ya compilado y se inyecta código no sería interpretada (y por lo tanto no se ejecutará) de nuevo.

Answer 2

El nombre de usuario y la consulta se enviarán a la base de datos como dos cosas separadas, y el motor de base de datos se encargará de volver a unir los dos. La consulta ya está compilada por el motor en el momento en que se lee el parámetro, por lo que los dos nunca se consideran parte de la misma declaración.

Answer 3

El uso de parámetros y una declaración preparada previene los ataques de inyección SQL, es decir, al pasar "'o 1 = 1" no se obtendrán datos no intencionados. Sin embargo, si en cualquier etapa muestra los datos de vuelta al usuario, debe asegurarse de que el HTML que se produce no se vea afectado por la entrada del usuario que proviene de la base de datos

Por ejemplo, si su página web muestra :

Hello, ${username} 

si el nombre de usuario es

<script>alert('I could have been more malicious')</script> 

puede conducir a ataques XSS o CSRF.

N.B.

Hello, ${fn:escapeXml(username)} 

sería más seguro (código JSP).

Una buena referencia es:

• http://www.sans.org/top25-software-errors/