阅读下列说明，回答问题1至问题4，将解答填入答题纸的对应栏内。【说明】某高校开发了一套基于Web的教务管理系统，实现教务管理人员课程设置、学生选课和成绩查询、教师上传成绩以及特殊情况下教务处对成绩进行修改等功能。系统基于Java EE平台实现，

admin2015-05-21 37

问题阅读下列说明，回答问题1至问题4，将解答填入答题纸的对应栏内。
【说明】
某高校开发了一套基于Web的教务管理系统，实现教务管理人员课程设置、学生选课和成绩查询、教师上传成绩以及特殊情况下教务处对成绩进行修改等功能。系统基于Java EE平台实现，采用表单(Form)实现用户数据的提交并与用户交互。
  系统要支持：
  (1)在特定时期内100个用户并发时，主要功能的处理能力至少要达到10个请求／秒，平均数据量8KB／请求；
  (2)用户可以通过不同的移动设备、操作系统和浏览器进行访问。
系统实现时，对成绩更新所用的SQL语句如下：
“UPDATE StudentScore SET score==”+intClientSubmitScore+“WHERE Stuent_ID=‘”+strStudentlD+‘‘’：”
设计1个测试用例，以测试该SQL语句是否能防止SQL注入，并说明该语句是否能防止SQL注入，以及如何防止SQL注入。

选项

答案设计如下测试： (1)intClientSubmitScore：100--，strStudentlD：20130002，则该SQL变为： UPDATE StudentScore SET score=100 一一WHERE Student—ID=’20130002’； (2)intClientSubmitScore：100，strStudentlD：20130002’：DROP TABLE StudentScore-，则该SQL语句变为： UPDATE StudentScore SET score=100 WHERE Student—ID=’20130002’；DROP TABLE StudentScore一’；从测试用例所拼接处的SQL可以看出，该SQL语句不安全，容易造成SQL注入。防止SQL注入的方法主要有：拼接SQL之前对特殊符号进行转义，使其不作为SQL语句的功能符号。

解析本问题考查Web应用安全性方面的SQL注入，SQL注入是Web应用安全性测试的重要方面。
许多Web应用系统采用某种数据库，接收用户从Web页面中输入，完成展示相关存储的数据(如检查用户登录信息)、将输入数据存储到数据库(如用户输入表单中数据域并点击提交后，系统将信息存入数据库)等操作。在有些情况下，将用户输入的数据和设计好的SQL框架拼接后提交给数据库执行，就可能存在用户输入的数据并非设计的正确格式，从而给恶意用户提供了破坏的机会。即SQL注入。恶意用户输入不期望的数据，拼接后提交给数据库执行，造成可能使用其他用户身份、查看其他用户的私密信息，还可能修改数据库的结构，甚至是删除应用的数据库表等严重后果。因此需要在测试阶段进行认真严格的测试。
本系统实现时，对成绩更新所用的如下8QL语句：
“UPDATE StudentScore SET score=”+intClientSubmitScore+”WHERE Stuent_ID= ’ "+StrStuden’tID+”’；”
采用拼接字符串方式，无法防止SQL注入。例如intClientSubmitScore：100-，strStudentID：20130002，则该SQL变为：
UPDATE StudentScore SET score=100一一WHERE Stuent—ID=’20130002’；
一是SQL中注释符号，其后的内容为注释，这样上述语句中一之后的内容变为注释，只要StudentScore表中所有的记录的score都变为100，而没有受到WHERE子句后的学号限制。
再比如intClientSubmitScore：100，strStudentID：20130002’or’a’=’a，则该SQL变为：
UPDATE StudentScore SET score。100 WHERE Stuent—ID=’20130002’or’a’=’a；
因为’a’=’a’条件总是成立，因此，SQL执行结果包括学生成绩表中所有行的score都更新为100分。
更为严重的情况下，用户输入DROP等功能性命令，会造成数据库表的永久删除等严重后果，如strStudentID：20130002’；DROP TABLE StudentScore-，则该SQL语句变为：
UPDATE StudentScore SET score=100 WHERE Stuent—ID=’20130002’；DROP TABLE
StudentScore--’；
防止SQL注入的方法主要有：拼接SQL之前对特殊符号进行转义或者等价方式，使其不作为SQL语句的功能符号。验证所有输入数据能从输入层面防止SQL注入。
SQL注入在使用SSL的应用中仍然存在，甚至是防火墙也无法防止SQL注入。因此，在测试Web应用时，需要认真仔细设计测试用例，采用Web漏洞扫描工具等进行检查，以保证不存在SQL注入机会。

转载请注明原文地址:https://kaotiyun.com/show/v7WZ777K

本试题收录于：软件评测师下午应用技术考试题库软考中级分类

软件评测师下午应用技术考试

软考中级

相关试题推荐

随机试题

最新回复(0)

软件评测师下午应用技术考试

软考中级

关于信息系统建设合同索赔的描述，不正确的是，()。

监理单位在信息系统工程监理过程中针对各类合同的管理须遵循合同管理原则，合同管理原则中不包括()。

()描述了系统的功能,由系统、用例和角色三种元素组成。

类库、构件、模板和框架是软件开发过程中常用的几种提高软件质量、降低开发工作量的软件复用技术。()是面向对象的类库的扩展，并由一个应用相关联构件家族构成，这些构件协同工作形成了它的基本结构骨架。

防火墙、入侵监测和漏洞扫描系统是保障()需要用到的网络安全产品。

使计算机系统各个部件、相关的软件和数据协调、高项工作的是()。

在进行工程质量控制时，直方图可以用来(67)。

软件测试类型按开发阶段划分依次是(30)。

以下建立项目监理机构的工作的排列顺序中，正确的是_______。①确定各项监理工作，并分类、归并形成部门②明确监理总目标并确定各项监理任务③制定监理工作流程④建立监理组织结构图⑤制定监理部门和人员的任务、工

分注井第一级以下各级封隔器若有一级不密封，则油压()，套压不变，油管注入量上升。

伴随着信息化时代的快速发展，许多企业正步入国际化企业的范畴，根据国际化企业的内涵，下列说法正确的是()

大挑花切出的脏器是

下列财务比率中，属于营运能力比率的是()。

下列关于普通合伙企业合伙人财产份额转让的说法中，正确的是()。

下列各项关于上地使用权会计处理的表述中，止确的有()。

设等差数列{an}满足3a8=5a13，且a1＞0，Sn为其前n项之和，则Sn中最大的是()。

Statusesaremarveloushumaninventionsthatenableustogetalongwithoneanotherandtodeterminewherewe"fit"insociety.