Python阵营有许多操作数据库的开源库(装置pip后,能够凭借”pip search mysql”检查可用的库列表),其中被运用最多的无疑是MySQLdb,这个库简略易上手。其偏底层的特性为开发者供给灵活性的一起,也对不少新手写出的DB操作代码提出了检测,由于它只支撑raw sql,简略导致sql注入进犯。
鉴于此,许多库供给了ORM接口才能,凭借OO思维,数据库中的表被映射为Python的类,类的目标代表数据表中的一行记载,一切的DB操作都经过目标办法调用来完成,这些调用在底层被主动转化成SQL句子,在转化过程中, 通常会选用parameter bind的办法确保生成的parameterized SQL不存在被注入的危险 。
SQLAlchemy 便是这样一个具有ORM才能的DB操作Python库,此外,该库还支撑开发者履行raw sql,并经过其供给的text目标完成 params binding ,然后防护SQL注入危险。
补白1:PHP中的DB操作库(如PDO或MySQLi)支撑的prepare/bind_param接口也是业界引荐的防备sql injection的办法,而escape_string只能对单/双引号等特别字符做简略的替换,它并不能确保防护一切的危险字符。
补白2:SQLAlchemy的官方文档比较多,其架构细节能够参阅 SQLAlchemy at Architecture of Open Source Applications 这篇文章,信任对初学者有不小的协助。
下面的代码示例用来阐明怎么凭借SQLAlchemy的parameters bind才能来写出能避免sql注入的raw sql。
条件假定
假定咱们完成了一个简略的sqlalchemy封装类(dbutil.py),代码如下:
#!/bin/env python #-*- encoding: utf-8 -*- from sqlalchemy import create_engine class DbWrapper(object): _db_inst = None _db_driver_cfg = { 'dbtype' : 'mysql', } @clas *** ethod def get_db_inst(cls, dbtype = 'mysql', user = '', password = '', host = '127.0.0.1', port = 3306, dbname = '', encoding = 'utf-8'): if cls._db_inst is None: stmt = '%s://%s:%s@%s:%s/%s' % (cls._db_driver_cfg['dbtype'], user, password, host, port, dbname) cls._db_inst = create_engine(stmt, encoding = encoding) return cls._db_inst
上面的代码十分简略,在需求操作db时,经过调用dbutil.get_db_inst()并传入db装备就能获取到能够操作db的类的实例。
补白:db实例更好创立一次后保存起来,进程发动后在做必要的初始化作业时就能够先把db实例创立出来且整个进程都可用这个实例拜访数据库。这是由于sqlalchemy库是支撑 connection pool 且默许启用的,在大多数情况下,一个db实例足以应对整个进程对db的并发拜访需求。
insert示例
下面以insert sql为例阐明怎么凭借sqlalchemy.text写出无sql注入危险的raw sql(假定现已创立出_db_inst实例)。
#!/bin/env python #-*- encoding: utf-8 -*- import time from sqlalchemy import text def insert_into_xxx_tbl(user_id, user_name, nickname): insert_params_dict = { 'user_id': user_id, 'user_name': user_name, 'nickname': nickname, 'db_insert_time': int(time.time()), 'db_update_time': int(time.time()), } ## use sqlalchemy bindparams to prevent sql injection pre_sql = 'insert into xxx_tbl (user_id, user_name, nickname, db_insert_time, db_update_time) values(:user_id, :user_name, :nickname, :db_insert_time, :db_update_time)' bind_sql = text(pre_sql) resproxy = _db_inst.connect().execute(bind_sql, insert_params_dict) ## return lastid as event_id event_id = resproxy.lastrowid return event_id
select示例
select的用法与insert相似:凭借Python dict结构select sql where条件的kv pairs,使用text()对sql进行参数绑定,调用execute()时传入绑定的sql及真实的参数即可。
#!/bin/env python #-*- encoding: utf-8 -*- import time from sqlalchemy import text def select_from_xxx_tbl(event_id): select_params_dict = { 'event_id': event_id, } ## use sqlalchemy bindparams to prevent sql injection pre_sql = 'select user_id, user_name, nickname from xxx_tbl where event_id = :event_id' bind_sql = text(pre_sql) resproxy = _db_inst.connect().execute(bind_sql, select_params_dict) rows = resproxy.fetchall() ret = rows[0] ## return (user_id, user_name, nickname) return ret
在线破解更改了当地破译那类处于被动的破译方法,要是是线上的QQ号码都可以破译,应用领域范围广。但是因为它依然选用穷举法专业技能,因此在枚举类型密匙十位数长短及其种类时,校...
TrickBot是自2019年以来影响规模最大的银行木马之一,经过几年的开展,现在的trickBot或许现已脱离了简略的“银行木马”的领域,它的模块化特点将歹意软件提高到了更高的水平。事实上,它能够被...
尽管也没有那般的工作经验,也不知道能否帮上忙,但我讲我的想法:你通过自学互联网技术,但沒有学历,不容置疑,顾主不敢相信给你整体实力,因此你能取得资格证书(你了解);返回如...
SQL 注入进犯现状 SQL 注入进犯是一个十分老的进犯办法,因为许多运用程序都存在 SQL 注入缝隙而且 SQL 注入办法与手法变化无常,虽然大型企业一般都花巨资购买多种安全维护体系,可是 SQL...
blueCMS介绍 个人认为,作为一个要入门代码审计的人,审计流程应该从简略到困难,逐渐提高。因而我主张咱们的审计流程为——DVWA——blueCMS——其他小众CMS——结构。一起做总结,搞清楚缝隙...
关于一个战士来说,最大的愿望便是能上战场真刀实枪的干上一战,相同关于一名安全人员来说,自己规划、建造的通过层层防护的系统,假如没有经历过一次进犯,难免有点索然寡味。在许多的甲方傍边,运营商互联网事务暴...