首页
登录
从业资格
某大型匹萨加工和销售商为了有效管理匹萨的生产和销售情况,欲开发一套基于Web的信
某大型匹萨加工和销售商为了有效管理匹萨的生产和销售情况,欲开发一套基于Web的信
考试题库
2022-08-02
63
问题
某大型匹萨加工和销售商为了有效管理匹萨的生产和销售情况,欲开发一套基于Web的信息系统。其主要功能为销售、生产控制、采购、运送、存储和财务管理等。系统采用Java EE平台开发,页面中采用表单实现数据的提交与交互,使用图形(Graphics)以提升展示效果。4、系统实现时,对销售订单的更新所用的SQL语句如下:PreparedStatementpStmt=connection.prepareStatement("UPDATE SalesOrder SET status= ? WHEREOrderID= ?")然后通过setString(...);的方式设置参数值后加以执行。设计测试用例以测试SQL注入,并说明该实现是否能防止SOL注入。
选项
答案
解析
设计如下测试:[注:设计类似如下用例即可,其中包含SQL功能符号使SQL变为不符合设计意图即可]
PreparedStatement
pStmt=connection.prepareStatement("UPDATE SalesOrder SET status= ? WHERE
OrderID= ?")
采用传递参数的形式,Java的JDBC驱动自动会将其按照相应的类型处理,功能符号会进行转义。因此,该SQL语句是安全。
【解析】
第四小题考查Web应用安全性方面的SQL注入,SQL注入是Web应用安全性测试的重要方面之一。
许多Web应用系统采用某种数据库,接收用户从Web页面中输入,完成展示相关存储的数据(如检查用户登录信息)、将输入数据存储到数据库(如用户输入表单中数据域并点击提交后,系统将信息存入数据库)等操作。在有些情况下,将用户输入的数据和设计好的SQL框架拼接后提交给数据库执行,就可能存在用户输入的数据并非设计的正确格式,就给恶意用户提供了破坏的机会,即SQL注入。恶意用户输入不期望的数据,拼接后提交给数据库执行,造成可能使用其他用户身份,查看其他用户的私密信息,还可能修改数据库的结构,甚至是删除应用的数据库表等严重后果。SQL注入在使用SSL的应用中仍然存在,甚至是防火墙也无法防止SQL注入。因此,在测试Web应用时,需要认真仔细设计测试用例,采用Web漏洞扫描工具等进行检查,进行认真严格的测试,以保证不存在SQL注入机会。
本系统实现时,对销售订单的更新所用的SQL语句如下:
PreparedStatement pStmt=connection.prepareStatement("UPDATE SalesOrder SET status= ? WHERE OrderID= ?;");
然后通过setString(...);的方式设置参数值后加以执行。
在SQL语句中采用参数的方式传递前台传递来的值,因为不论是什么值,都会只作为setString(...)的参数值,不会作为SQL语句的其他功能符,所以本SQL语句更新订单的方式是防止SQL注入的。设计如下测试SQL注入的测试用例:
status: 'fulfilled' --, OrderID: '2014' OR '1'='1'
检查执行结果,或者传递给数据库的SQL语句,会发现所有用例中的功能字符都会经过特定的转义后作为status和OrderID的值。和拼接SQL的方式不同,采用参数形式传递时,Java的JDBC驱动自动会将其按照相应的类型处理,功能符号会进行转义。因此,测试用例中的注释--、OR等都会作为参数的值,不会作为功能符,也就不会改变SQL语句本身的功能结构,该SQL语句是安全的。
转载请注明原文地址:https://tihaiku.com/congyezige/2416211.html
本试题收录于:
中级 软件评测师题库软件水平考试初中高级分类
中级 软件评测师
软件水平考试初中高级
相关试题推荐
某教学管理数据库中,学生、课程关系模式分别为:S(学号,姓名,性别,家庭住址,电
某商场的部门和商品两个实体之间的关系如下图所示。假设每个部门负责销售若干种商品,
在采用面向对象开发方法开发交通系统时,若将"汽车"与"交通工具"分别设计为类,则
企业管理、电子政务、电子商务等具有()的特点,宜采用云计算模式。A.强计算、强
许多大型企业的数据中心,为了解决存储扩张和管理难度增大的问题,采用了存储虚拟化技
某营销公司员工绩效考核系统,对不同岗位的员工绩效考核指标不同,例如:一级销售员月
某开发团队中任意两人之间都有一条沟通途径。该团队原有6人,新增2人后,沟通途径将
软件工程的基本目标是()。A.消除软件固有的复杂性 B.开发高质量的软件
某公司有几个地区销售业绩如下表所示,若在B7单元格中输入(),则该单元格的值为
某公司有几个地区销售业绩如下表所示,若在B7单元格中输入(请作答此空),则该单元
随机试题
Everyone’sgoingsmall.Thatwasthestrongest【D1】______onthefloorofthe
Letus【B1】______thatyouareinthepositionofaparent.Wouldyou’allow
DOUBT:QUESTION::A、manner:techniqueB、thirst:accomplishmentC、remorse:avari
[A]community[B]compassion[C]describe[D]distractedly[E]documenting[F]drastic[G]i
世界上最早对人体实验制定基本国际准则的医德文献是A.1964年的“赫尔新基”宣言
对军团菌感染效果最好的药物是A、林可霉素 B、红霉素 C、庆大霉素 D、万
根据《城乡规划法》规定,建设单位应当向城乡规划主管部门报送有关竣工验收资料的期限
下列关于城市道路规划设计中净空与限界的描述正确的是()。A.行人净空净高要
处理劳动争议的正确程序是( )。A.调解、诉讼、仲裁 B.调解、仲裁、诉讼
关于鞣质性质的叙述,不正确的是A.多为无色无定形粉末 B.具有吸湿性 C.具
最新回复
(
0
)