首页
外语
计算机
考研
公务员
职业资格
财经
工程
司法
医学
专升本
自考
实用职业技能
登录
计算机
阅读下列说明,回答问题1至问题4,将解答填入答题纸的对应栏内。 【说明】 某高校开发了一套基于Web的教务管理系统,实现教务管理人员课程设置、学生选课和成绩查询、教师上传成绩以及特殊情况下教务处对成绩进行修改等功能。系统基于Java EE平台实现,
阅读下列说明,回答问题1至问题4,将解答填入答题纸的对应栏内。 【说明】 某高校开发了一套基于Web的教务管理系统,实现教务管理人员课程设置、学生选课和成绩查询、教师上传成绩以及特殊情况下教务处对成绩进行修改等功能。系统基于Java EE平台实现,
admin
2015-05-21
39
问题
阅读下列说明,回答问题1至问题4,将解答填入答题纸的对应栏内。
【说明】
某高校开发了一套基于Web的教务管理系统,实现教务管理人员课程设置、学生选课和成绩查询、教师上传成绩以及特殊情况下教务处对成绩进行修改等功能。系统基于Java EE平台实现,采用表单(Form)实现用户数据的提交并与用户交互。
系统要支持:
(1)在特定时期内100个用户并发时,主要功能的处理能力至少要达到10个请求/秒,平均数据量8KB/请求;
(2)用户可以通过不同的移动设备、操作系统和浏览器进行访问。
系统实现时,对成绩更新所用的SQL语句如下:
“UPDATE StudentScore SET score==”+intClientSubmitScore+“WHERE Stuent_ID=‘”+strStudentlD+‘‘’:”
设计1个测试用例,以测试该SQL语句是否能防止SQL注入,并说明该语句是否能防止SQL注入,以及如何防止SQL注入。
选项
答案
设计如下测试: (1)intClientSubmitScore:100--,strStudentlD:20130002,则该SQL变为: UPDATE StudentScore SET score=100 一一WHERE Student—ID=’20130002’; (2)intClientSubmitScore:100,strStudentlD:20130002’:DROP TABLE StudentScore-,则该SQL语句变为: UPDATE StudentScore SET score=100 WHERE Student—ID=’20130002’;DROP TABLE StudentScore一’; 从测试用例所拼接处的SQL可以看出,该SQL语句不安全,容易造成SQL注入。 防止SQL注入的方法主要有:拼接SQL之前对特殊符号进行转义,使其不作为SQL语句的功能符号。
解析
本问题考查Web应用安全性方面的SQL注入,SQL注入是Web应用安全性测试的重要方面。
许多Web应用系统采用某种数据库,接收用户从Web页面中输入,完成展示相关存储的数据(如检查用户登录信息)、将输入数据存储到数据库(如用户输入表单中数据域并点击提交后,系统将信息存入数据库)等操作。在有些情况下,将用户输入的数据和设计好的SQL框架拼接后提交给数据库执行,就可能存在用户输入的数据并非设计的正确格式,从而给恶意用户提供了破坏的机会。即SQL注入。恶意用户输入不期望的数据,拼接后提交给数据库执行,造成可能使用其他用户身份、查看其他用户的私密信息,还可能修改数据库的结构,甚至是删除应用的数据库表等严重后果。因此需要在测试阶段进行认真严格的测试。
本系统实现时,对成绩更新所用的如下8QL语句:
“UPDATE StudentScore SET score=”+intClientSubmitScore+”WHERE Stuent_ID= ’ "+StrStuden’tID+”’;”
采用拼接字符串方式,无法防止SQL注入。例如intClientSubmitScore:100-,strStudentID:20130002,则该SQL变为:
UPDATE StudentScore SET score=100一一WHERE Stuent—ID=’20130002’;
一是SQL中注释符号,其后的内容为注释,这样上述语句中一之后的内容变为注释,只要StudentScore表中所有的记录的score都变为100,而没有受到WHERE子句后的学号限制。
再比如intClientSubmitScore:100,strStudentID:20130002’or’a’=’a,则该SQL变为:
UPDATE StudentScore SET score。100 WHERE Stuent—ID=’20130002’or’a’=’a;
因为’a’=’a’条件总是成立,因此,SQL执行结果包括学生成绩表中所有行的score都更新为100分。
更为严重的情况下,用户输入DROP等功能性命令,会造成数据库表的永久删除等严重后果,如strStudentID:20130002’;DROP TABLE StudentScore-,则该SQL语句变为:
UPDATE StudentScore SET score=100 WHERE Stuent—ID=’20130002’;DROP TABLE
StudentScore--’;
防止SQL注入的方法主要有:拼接SQL之前对特殊符号进行转义或者等价方式,使其不作为SQL语句的功能符号。验证所有输入数据能从输入层面防止SQL注入。
SQL注入在使用SSL的应用中仍然存在,甚至是防火墙也无法防止SQL注入。因此,在测试Web应用时,需要认真仔细设计测试用例,采用Web漏洞扫描工具等进行检查,以保证不存在SQL注入机会。
转载请注明原文地址:https://kaotiyun.com/show/v7WZ777K
本试题收录于:
软件评测师下午应用技术考试题库软考中级分类
0
软件评测师下午应用技术考试
软考中级
相关试题推荐
监理工程师刘工按正常的程序和方法对承建单位开发过程进行了检查和监督,未发现任何问题,系统上线后,发现由于系统设计卜一缺陷而导致无法满足实际应用要求。从风险角度,这种系统设计的风险属于()。
一般采用Web技术和SOA架构,向用户提供多租户、可定制的组件、工作流等服务属于()。
()不属于漏洞扫描系统的功能和性能要素。
基于买方的购买历史及行为分析,进行针对性的信息推送,属于()的典型应用。
在MPEG系列标准中,(63)最适合在共用电话交换网(PSTN)上实时传输视频数据。
工程监理费是付给信息系统工程项目监理单位的监理服务费用。工程监理的取费应综合考虑信息工程项目的监理特点、项目建设周期、地域分布、监理对象、监理单位的能力、监理难度等因素。一般采取的主要取费方式有(48)。①按照信息系统工程建设费(或合同价格)的百分比取费
802.3标准中使用的媒体访问控制方式是(61)。
以下关于验收和验收中出现质量问题处理方法的叙述中,()是不正确的。
在X综合布线项目中,承建单位出现了进度、质量相关问题,监理单位立即向各方提出了意见和建议,并在必要时告知了建设单位。这体现了监理单位在合同管理中的_____________原则。
随机试题
可摘局部义齿人工后牙颊舌径减径的目的是
难溶电解质AgCl在浓度为0.01mol/dm3的下列溶液中,溶解度最小的是:
( )的计算,主要涉及两个方面;一是工程量的计量,二是单价的计算方法。
某建筑地下2层,地上40层,建筑高度137m,总面积116000m2,设有相应的消防设施。地下二层设有消防水泵房和540m2的室内消防水池。屋顶设置有效容积为40m3的高位消防水箱,其最低有效水位为141.000m,屋顶水箱间内分别设置消火栓系统
下列关于会计科目编码的描述中,正确的有()。
省级人民政府有权安排当地法人银行机构为本地国有大中型企业的对外贸易与融资提供担保,被安排的法人银行机构不得拒绝。()
包装的功能主要包括()。
宾夕法尼亚大学的认知心理学研究小组发现,当一方球员由右至左向对方球员实行铲断时,对于那些来自阅读习惯为由左至右的国家的裁判来说,判定犯规的概率要比铲断是由左至右时高出5%。这种对有异于惯常视觉体验的行为“看不顺眼”的心理偏好此前已经被电影导演和漫画家们发现
Itisnotlongsinceconditionsinthemineswereworsethantheyarenow.Therearestill【C1】______afeweveryoldwomenwhoin
Whenshouldyoubeevenmorecarefulthanusualofthefoods?Duringthe______.
最新回复
(
0
)