首页
外语
计算机
考研
公务员
职业资格
财经
工程
司法
医学
专升本
自考
实用职业技能
登录
计算机
阅读下列说明,回答问题1至问题4,将解答填入答题纸的对应栏内。 【说明】 某高校开发了一套基于Web的教务管理系统,实现教务管理人员课程设置、学生选课和成绩查询、教师上传成绩以及特殊情况下教务处对成绩进行修改等功能。系统基于Java EE平台实现,
阅读下列说明,回答问题1至问题4,将解答填入答题纸的对应栏内。 【说明】 某高校开发了一套基于Web的教务管理系统,实现教务管理人员课程设置、学生选课和成绩查询、教师上传成绩以及特殊情况下教务处对成绩进行修改等功能。系统基于Java EE平台实现,
admin
2015-05-21
40
问题
阅读下列说明,回答问题1至问题4,将解答填入答题纸的对应栏内。
【说明】
某高校开发了一套基于Web的教务管理系统,实现教务管理人员课程设置、学生选课和成绩查询、教师上传成绩以及特殊情况下教务处对成绩进行修改等功能。系统基于Java EE平台实现,采用表单(Form)实现用户数据的提交并与用户交互。
系统要支持:
(1)在特定时期内100个用户并发时,主要功能的处理能力至少要达到10个请求/秒,平均数据量8KB/请求;
(2)用户可以通过不同的移动设备、操作系统和浏览器进行访问。
系统实现时,对成绩更新所用的SQL语句如下:
“UPDATE StudentScore SET score==”+intClientSubmitScore+“WHERE Stuent_ID=‘”+strStudentlD+‘‘’:”
设计1个测试用例,以测试该SQL语句是否能防止SQL注入,并说明该语句是否能防止SQL注入,以及如何防止SQL注入。
选项
答案
设计如下测试: (1)intClientSubmitScore:100--,strStudentlD:20130002,则该SQL变为: UPDATE StudentScore SET score=100 一一WHERE Student—ID=’20130002’; (2)intClientSubmitScore:100,strStudentlD:20130002’:DROP TABLE StudentScore-,则该SQL语句变为: UPDATE StudentScore SET score=100 WHERE Student—ID=’20130002’;DROP TABLE StudentScore一’; 从测试用例所拼接处的SQL可以看出,该SQL语句不安全,容易造成SQL注入。 防止SQL注入的方法主要有:拼接SQL之前对特殊符号进行转义,使其不作为SQL语句的功能符号。
解析
本问题考查Web应用安全性方面的SQL注入,SQL注入是Web应用安全性测试的重要方面。
许多Web应用系统采用某种数据库,接收用户从Web页面中输入,完成展示相关存储的数据(如检查用户登录信息)、将输入数据存储到数据库(如用户输入表单中数据域并点击提交后,系统将信息存入数据库)等操作。在有些情况下,将用户输入的数据和设计好的SQL框架拼接后提交给数据库执行,就可能存在用户输入的数据并非设计的正确格式,从而给恶意用户提供了破坏的机会。即SQL注入。恶意用户输入不期望的数据,拼接后提交给数据库执行,造成可能使用其他用户身份、查看其他用户的私密信息,还可能修改数据库的结构,甚至是删除应用的数据库表等严重后果。因此需要在测试阶段进行认真严格的测试。
本系统实现时,对成绩更新所用的如下8QL语句:
“UPDATE StudentScore SET score=”+intClientSubmitScore+”WHERE Stuent_ID= ’ "+StrStuden’tID+”’;”
采用拼接字符串方式,无法防止SQL注入。例如intClientSubmitScore:100-,strStudentID:20130002,则该SQL变为:
UPDATE StudentScore SET score=100一一WHERE Stuent—ID=’20130002’;
一是SQL中注释符号,其后的内容为注释,这样上述语句中一之后的内容变为注释,只要StudentScore表中所有的记录的score都变为100,而没有受到WHERE子句后的学号限制。
再比如intClientSubmitScore:100,strStudentID:20130002’or’a’=’a,则该SQL变为:
UPDATE StudentScore SET score。100 WHERE Stuent—ID=’20130002’or’a’=’a;
因为’a’=’a’条件总是成立,因此,SQL执行结果包括学生成绩表中所有行的score都更新为100分。
更为严重的情况下,用户输入DROP等功能性命令,会造成数据库表的永久删除等严重后果,如strStudentID:20130002’;DROP TABLE StudentScore-,则该SQL语句变为:
UPDATE StudentScore SET score=100 WHERE Stuent—ID=’20130002’;DROP TABLE
StudentScore--’;
防止SQL注入的方法主要有:拼接SQL之前对特殊符号进行转义或者等价方式,使其不作为SQL语句的功能符号。验证所有输入数据能从输入层面防止SQL注入。
SQL注入在使用SSL的应用中仍然存在,甚至是防火墙也无法防止SQL注入。因此,在测试Web应用时,需要认真仔细设计测试用例,采用Web漏洞扫描工具等进行检查,以保证不存在SQL注入机会。
转载请注明原文地址:https://kaotiyun.com/show/v7WZ777K
本试题收录于:
软件评测师下午应用技术考试题库软考中级分类
0
软件评测师下午应用技术考试
软考中级
相关试题推荐
在信息系统生命周期中,()阶段的任务是确定信息系统必须完成的总目标,确定项目的可行性、导出实现项目目标应该采取的策略及系统必须完成的功能。
信息系统工程是指信息系统的新建、升级、改造工程。其中,()是用于信息处理、传输、交换和分发的信息化基础设施。
某系统集成企业在项目实施阶段出现突发情况,引起进度问题。此时监理单位应通过(),督促各方采取应急措施赶上进度要求,以便项目的开发能以预期进度完成。
进度控制过程是个周期性的循环过程,一个完整的进度控制过程为()。
项目管理是信息系统项目三方(建设单位、承建单位、监理单位)均采用的方法。在信息系统项目管理要素中,由建设单位重点实施的是()。
《软件集成测试计划》的编写在()阶段完成。
防火墙、入侵监测和漏洞扫描系统是保障()需要用到的网络安全产品。
基于买方的购买历史及行为分析,进行针对性的信息推送,属于()的典型应用。
某计算机系统结构如下图所示,若所构成系统的每个部件的可靠度均为0.9,即R=0.9,则该系统的可靠度为______。
在监理工作程序中,应在()之前确定总监理工程师。
随机试题
物质产品的生产不包括()
我国对私人资本主义工商业进行社会主义改造的高级形式是【】
下列各项中。属于逆传的有
某地甲、乙两商场均经销某品牌电脑,竞争激烈。后来,双方认识到竞争实际上对双方都构成了很大的压力。为了减轻压力,双方达成了一系列协议。根据《反垄断法》,双方达成的下列哪些协议是垄断协议?
现行《建筑法》施行的时间是()。
不属于实行政府间转移支付的理论依据的是()。
关于组织公民行为的说法,正确的是()。
苏州园林甲天下,为中国十大风景名胜之一,其中九座园林被列人世界文化遗产名录,截至2009年有六项非物质文化遗产被列为世界口头与非物质文化遗产。苏州既有园林之美,又有山水之胜,自然、人文景观交相辉映,加之文人墨客题咏吟唱,使苏州成为名副其实的“
属于我国古代医学所说的“五脏”是指()。
提升教师职业道德修养的方法包括()。
最新回复
(
0
)