appscan扫描出sql注入

Question

最近项目进行安全测试，用appscan扫描出sql注入，发现在参数后拼入%uFF07这类字符后，过滤器request.getParameterNames()就会有异常（但是捕获不到这个异常），并且自动把带%uFF07的参数key和value自动忽略，也就检测不到有sql注入了，，，这样有个解决方法是可以在过滤器中用request.getInputStream()来获取IO流，即可检测到%，，，但是又有一个问题：getParameterNames()和getInputStream()又不能共存使用，在过滤器中若用getInputStream()，则项目其他地方request.getParameter就会有问题，所以谁有好的办法呢？？？

就是图片中这样，过滤器request.getParameterName（）就获取不到"value"属性和对应的值

Answer 1

先问几个问题，你这个是POST方法嘛？后端用到了什么框架没有？比如springmvc

通过跟踪tomcat的日志，应该是在调用org.apache.tomcat.util.http.Parameters的processParameters方法时出现了异常。

以下是tomcat的日志:

org.apache.tomcat.util.http.Parameters processParameters
信息: Character decoding failed. Parameter [value] with value [1234%uFF07] has been ignored. Note that the name and value quoted here may be corrupted due to the failed decoding. Use debug level logging to see the original, non-corrupted values.

1.如果缺失了value的值，这句sql执行的时候返回了500，应该在执行数据库操作之前对参数进行校验。具体的校验方法，你可以看看下面的文章。
https://jinnianshilongnian.iteye.com/blog/1733708

1. 至于防止sql注入攻击，不能采用拼接sql的方式来编写sql.