SQL Injection

The Parameters collection in SQL Server provides type checking and length validation.Kullanırsanız, parametreleri koleksiyon, giriş yürütülebilir kod olarak yerine, hazır bilgi değeri olarak işlem görür.Kullanarak ek bir yararı parametreleri türü ve uzunluğu zorlayabilir koleksiyon denetler.Dışındaki değerleri aralık bir özel durum tetikleyecek.Aşağıdaki kod parçası gösterir kullanarak parametreleri koleksiyon:

SqlDataAdapter myCommand = new SqlDataAdapter("AuthorLogin", conn);
myCommand.SelectCommand.CommandType = CommandType.StoredProcedure;
SqlParameter parm = myCommand.SelectCommand.Parameters.Add("@au_id",
     SqlDbType.VarChar, 11);
parm.Value = Login.Text;

Bu örnekte, @au_id parametresi yürütülebilir kod olarak yerine, hazır bilgi değeri olarak işlem görürBu değer türü ve uzunluğu için denetlenir.Varsa değeri @au_id uymak belirtilen türü ve uzunluğu sınırlamaları, bir özel durum.

Filtre uygulanmamış giriş kullandıkları saklı yordamlar sql Injection olasılığınız olabilir.Örneğin, aşağıdaki kod etkilenir:

SqlDataAdapter myCommand = 
new SqlDataAdapter("LoginStoredProcedure '" + 
                               Login.Text + "'", conn);

Saklı yordamlar kullanırsanız, parametreleri kendi giriş olarak kullanmanız gerekir.

Saklı yordamları kullanamazsınız, Parametreler, aşağıdaki kod örneğinde gösterildiği gibi kullanmaya devam edebilirsiniz:

SqlDataAdapter myCommand = new SqlDataAdapter(
"SELECT au_lname, au_fname FROM Authors WHERE au_id = @au_id", conn);
SQLParameter parm = myCommand.SelectCommand.Parameters.Add("@au_id", 
                        SqlDbType.VarChar, 11);
Parm.Value = Login.Text;

Giriş filtresi de çıkış karakterleri kaldırarak sql Injection karşı korumalarına yardımcı olabilir.Ancak çok sayıda sorun oluşturabileceği karakterleri nedeniyle, bu güvenilir bir savunma değil.Aşağıdaki örnek, karakter dize sınırlayıcı için arar.

private string SafeSqlLiteral(string inputSQL)
{
  return inputSQL.Replace("'", "''");
}

LIKE yan tümce tümce kullanıyorsanız, joker karakterler hala konulmalıdır olduğunu unutmayın:

s = s.Replace("[", "[[]");
s = s.Replace("%", "[%]");
s = s.Replace("_", "[_]");

Her seçili saklı yordam, emin olun dinamik kullanılan tüm değişkenler Transact-SQL doğru şekilde işlenir.Saklı yordam giriş parametrelerinden gelir veya karşı okunur verileri bir tablo quotename() ya da replace() sarılan.Unutmayın değeri @ değişkeni için geçirilen quotename() ise sysname, ve en fazla 128 karakter uzunlukta.

Bu tekniği kullandığınızda, bir set deyim aşağıdaki şekilde gözden geçirilebilir:

--Before:

SET @temp = N'select * from authors where au_lname='''

+ @au_lname + N''''

--After:

SET @temp = N'select * from authors where au_lname='''

+ REPLACE(@au_lname,'''','''''') + N''''

Tüm dinamik Transact-SQL için atanmış bir değişken bu değişkeni. için ayrılmış arabellek büyükse kesilecekBir saklı yordam için beklenmedik bir şekilde uzun dizeleri aktararak deyim kesilme zorla olanağına sahip olan bir saldırganın, sonucu işleyebilirsiniz.Örneğin, aşağıdaki komut dosyası tarafından oluşturulan bir saklı yordam tarafından kesme etkin yerleştirmeye karşı savunmasız olur.

CREATE PROCEDURE sp_MySetPassword

@loginname sysname,

@old sysname,

@new sysname

AS

-- Declare variable.

-- Note that the buffer here is only 200 characters long.

DECLARE @command varchar(200)

-- Construct the dynamic Transact-SQL.

-- In the following statement, we need a total of 154 characters

-- to set the password of 'sa'.

-- 26 for UPDATE statement, 16 for WHERE clause, 4 for 'sa', and 2 for

-- quotation marks surrounded by QUOTENAME(@loginname):

-- 200 – 26 – 16 – 4 – 2 = 154.

-- But because @new is declared as a sysname, this variable can only hold

-- 128 characters.

-- We can overcome this by passing some single quotation marks in @new.

SET @command= 'update Users set password=' + QUOTENAME(@new, '''') + ' where username=' + QUOTENAME(@loginname, '''') + ' AND password = ' + QUOTENAME(@old, '''')

-- Execute the command.

EXEC (@command)

GO

154 Karakterler 128 karakter arabelleğine geçirerek, saldırgan olabilir küme için yeni bir parola sa olmadan bilmek eski parola.

EXEC sp_MySetPassword 'sa', 'dummy', '123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012'''''''''''''''''''''''''''''''''''''''''''''''''''

Bu nedenle, komut değişkeni için büyük bir arabellek kullanın veya doğrudan dinamik yürütmek Transact-SQL içinde yürütmek deyim.

Bunlar tahsis edilen alan aşarsa, quotename() ve replace() tarafından döndürülen dizeleri sessizce kesilecek.Aşağıdaki örnekte oluşturulan saklı yordam gerçekleşebilir ne gösterir.

CREATE PROCEDURE sp_MySetPassword

@loginname sysname,

@old sysname,

@new sysname

AS

-- Declare variables.

DECLARE @login sysname

DECLARE @newpassword sysname

DECLARE @oldpassword sysname

DECLARE @command varchar(2000)

-- In the following statements, the data stored in temp variables

-- will be truncated because the buffer size of @login, @oldpassword,

-- and @newpassword is only 128 characters, but QUOTENAME() can return

-- up to 258 characters.

SET @login = QUOTENAME(@loginname, '''')

SET @oldpassword = QUOTENAME(@old, '''')

SET @newpassword = QUOTENAME(@new, '''')

-- Construct the dynamic Transact-SQL.

-- If @new contains 128 characters, then @newpassword will be '123... n

-- where n is the 127th character.

-- Because the string returned by QUOTENAME() will be truncated,

-- it can be made to look like the following statement:

-- UPDATE Users SET password ='1234. . .[127] WHERE username=' -- other stuff here

SET @command = 'UPDATE Users set password = ' + @newpassword

+ ' where username =' + @login + ' AND password = ' + @oldpassword;

-- Execute the command.

EXEC (@command)

GO

Bu nedenle, aşağıdaki deyim tüm kullanıcıların parolalarını Önceki kodda geçirilen değere küme.

EXEC sp_MyProc '--', 'dummy', '12345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012345678'

replace() kullandığınızda ayrılmış arabellek alanı aşan dize kesilme zorlayabilirsiniz.Aşağıdaki örnekte oluşturulan saklı yordam gerçekleşebilir ne gösterir.

CREATE PROCEDURE sp_MySetPassword

@loginname sysname,

@old sysname,

@new sysname

AS

-- Declare variables.

DECLARE @login sysname

DECLARE @newpassword sysname

DECLARE @oldpassword sysname

DECLARE @command varchar(2000)

-- In the following statements, data will be truncated because

-- the buffers allocated for @login, @oldpassword and @newpassword

-- can hold only 128 characters, but QUOTENAME() can return

-- up to 258 characters.

SET @login = REPLACE(@loginname, '''', '''''')

SET @oldpassword = REPLACE(@old, '''', '''''')

SET @newpassword = REPLACE(@new, '''', '''''')

-- Construct the dynamic Transact-SQL.

-- If @new contains 128 characters, @newpassword will be '123... n

-- where n is the 127th character.

-- Because the string returned by QUOTENAME() will be truncated, it

-- can be made to look like the following statement:

-- UPDATE Users SET password='1234…[127] WHERE username=' -- other stuff here

SET @command= 'update Users set password = ''' + @newpassword + ''' where username='''

+ @login + ''' AND password = ''' + @oldpassword + '''';

-- Execute the command.

EXEC (@command)

GO

İle quotename() gibi dize kesilme replace() tarafından tüm durumlar için yeterince geçici değişkenler bildirerek önlenebilir.Mümkün olduğunda, quotename() veya replace() doğrudan dinamik çağırmalıdır Transact-SQL.Aksi takdirde, gerekli hesaplayabilirsiniz arabellek boyutu gibi.İçin @outbuffer = QUOTENAME(@input), boyutunu @outbuffer olmalıdır 2*(len(@input)+1). When you use REPLACE() and doubling quotation marks, as in the previous example, a buffer of 2*len(@input) is enough.

Aşağıdaki hesaplama tüm durumlarda kapsar:

While len(@find_string) > 0, required buffer size =

round(len(@input)/len(@find_string),0) * len(@new_string)

+ (len(@input) % len(@find_string))

Kesme meydana gelebilir, adını bir SQL Server güvenliği sağlanabilir geçirilir ifadeleri formu kullanmak için QUOTENAME(@variable, ']').Bunu aşağıdaki örnekte gösterilmektedir.

CREATE PROCEDURE sp_MyProc

@schemaname sysname,

@tablename sysname,

AS

-- Declare a variable as sysname. The variable will be 128 characters.

-- But @objectname actually must allow for 2*258+1 characters.

DECLARE @objectname sysname

SET @objectname = QUOTENAME(@schemaname)+'.'+ QUOTENAME(@tablename)

-- Do some operations.

GO

Ne zaman size bitiştirme türünün değerlerini sysname, geçici değişkenler yeterince büyük değeri başına en çok 128 karakter tutmak için kullanılması gerekenMümkünse, quotename() doğrudan dinamik çağrı Transact-SQL.Aksi takdirde, bir önceki bölümde de açıklandığı gibi gerekli arabellek boyutu hesaplayabilirsiniz.