最新公告
  • 欢迎您光临袁博客,本站秉承服务宗旨 履行“站长”责任,做国内最专业的站长资源平台!立即加入我们
  • Sql server之sql注入篇

    关于sql注入的危害在这里就多做介绍了,相信大家也知道其中的厉害关系。这里有一些sql注入的事件大家感兴趣可以看一下

    防范sql注入的方法无非有以下几种:

    1.使用类型安全的SQL参数
    2.使用参数化输入存储过程
    3.使用参数集合与动态SQL
    4.输入滤波
    5.过滤LIKE条款的特殊字符

    …如果有遗漏的也欢迎园子的大大们指教。

    1
    1
    2
    var Shipcity;

    上面是一个简单的sql注入示例

    用户将被提示输入一个市县名称。如果用户输入 Redmond,则查询将由与下面内容相似的脚本组成:

    1
    SELECT * FROM OrdersTable WHERE ShipCity = 'Redmond'

    但是,假定用户输入以下内容:

    1
    Redmond'; drop table OrdersTable--

    此时,脚本将组成以下查询:

    1
    1 SELECT * FROM OrdersTable WHERE ShipCity = 'Redmond';drop table OrdersTable--'

    分号 (;) 表示一个查询的结束和另一个查询的始。双连字符 (–) 指示当前行余下的部分是一个注释,应该忽略。如果修改后的代码语法正确,则服务器将执行该代码。SQL Server 处理该语句时,SQL Server 将首先选择 OrdersTable 中的所有记录(其中 ShipCity 为 Redmond)。然后,SQL Server 将删除 OrdersTable。

    只要注入的 SQL 代码语法正确,便无法采用编程方式来检测篡改。因此,必须验证所有用户输入,并仔细检查在您所用的服务器中执行构造 SQL 命令的代码。本主题中的以下各部分说明了编写代码的最佳做法。

    下面就介绍一下常用的几种防止sql注入的方法:

    1. 验证所有输入

    始终通过测试类型、长度、格式和范围来验证用户输入。实现对恶意输入的预防时,请注意应用程序的体系结构和部署方案。请注意,设计为在安全环境中运行的程序可能会被复制到不安全的环境中。以下建议应被视为最佳做法:

    对应用程序接收的数据不做任何有关大小、类型或内容的假设。例如,您应该进行以下评估:

    如果一个用户在需要邮政编码的位置无意中或恶意地输入了一个 10 MB 的 MPEG 文件,应用程序会做出什么反应?

    如果在文本字段中嵌入了一个 DROP TABLE 语句,应用程序会做出什么反应?

    测试输入的大小和数据类型,强制执行适当的限制。这有助于防止有意造成的缓冲区溢出。

    测试字符串变量的内容,只接受所需的值。拒绝包含二进制数据、转义序列和注释字符的输入内容。这有助于防止脚本注入,防止某些缓冲区溢出攻击。

    使用 XML 文档时,根据数据的架构对输入的所有数据进行验证。

    绝不直接使用用户输入内容来生成 Transact-SQL 语句。

    使用存储过程来验证用户输入。

    在多层环境中,所有数据都应该在验证之后才允许进入可信区域。未通过验证过程的数据应被拒绝,并向前一层返回一个错误。

    实现多层验证。对无目的的恶意用户采取的预防措施对坚定的攻击者可能无效。更好的做法是在用户界面和所有跨信任边界的后续点上验证输入。

    例如,在客户端应用程序中验证数据可以防止简单的脚本注入。但是,如果下一层认为其输入已通过验证,则任何可以绕过客户端的恶意用户就可以不受限制地访问系统。

    绝不串联未验证的用户输入。字符串串联是脚本注入的主要输入点。

    在可能据以构造文件名的字段中,不接受下列字符串:AUX、CLOCK$、COM1 到 COM8、CON、CONFIG$、LPT1 到 LPT8、NUL 以及 PRN。

    如果可能,拒绝包含以下字符的输入。

    用于目录扩展存储过程的名称的开头,如 xp_cmdshell。

    注:验证输入是最被常用和联想到的,但是个人感觉这种方式不但代码显得肥胖,而且效率不是很好

    2.使用类型安全的 SQL 参数

    SQL Server 中的 Parameters 集合提供了类型检查和长度验证。如果使用 Parameters 集合,则输入将被视为文字值而不是可执行代码。使用 Parameters 集合的另一个好处是可以强制执行类型和长度检查。范围以外的值将触发异常。以下代码段显示了如何使用 Parameters 集合:

    1
    1 SqlDataAdapter myCommand = new SqlDataAdapter("AuthorLogin", conn);2 myCommand.SelectCommand.CommandType = CommandType.StoredProcedure;3 SqlParameter parm = myCommand.SelectCommand.Parameters.Add("@au_id",4      SqlDbType.VarChar, 11);5 parm.Value = Login.Text;

    在此示例中,@au_id 参数被视为文字值而不是可执行代码。将对此值进行类型和长度检查。如果 @au_id 值不符合指定的类型和长度约束,则将引发异常。

    存储过程如果使用未筛选的输入,则可能容易受 SQL Injection 攻击。例如,以下代码容易受到攻击:

    1
    SqlDataAdapter myCommand = new SqlDataAdapter("LoginStoredProcedure '" + Login.Text + "'", conn);

    如果使用存储过程,则应使用参数作为存储过程的输入。

    注:在鄙人现在的项目中,这种方法应用最为广泛

    3.在动态 SQL 中使用参数集合

    如果不能使用存储过程,您仍可使用参数,如以下代码示例所示:

    1
    2
    1 SqlDataAdapter myCommand = new SqlDataAdapter(2 "SELECT au_lname, au_fname FROM Authors WHERE au_id = @au_id", conn);3 SQLParameter parm = myCommand.SelectCommand.Parameters.Add("@au_id",

    注:和第二种雷同,这种方法是为了补充方法2存在,因为往往在很多时候业务简单不需要用proc的时候,可以用这种方法

    4.筛选输入

    筛选输入可以删除转义符,这也可能有助于防止 SQL 注入。但由于可引起问题的字符数量很大,因此这并不是一种可靠的防护方法。以下示例可搜索字符串分隔符。

    1
    private string SafeSqlLiteral(string inputSQL)2 {3   return inputSQL.Replace("'""''");4 }

    注:Filtering Input有种类似方法1

    5.LIKE 子句

    请注意,如果要使用 LIKE 子句,还必须对通配符字符进行转义:

    1
    1  2 s = s.Replace("[""[[]");3 s = s.Replace("%""[%]");4 s = s.Replace("_""[_]");

    注:针对like子句,在使用时的效率这里就不多说了,总之要慎用了。

    1、本站所有资源来源于用户上传和网络,如有侵权请邮件联系站长!
    2、分享目的仅供大家学习和交流,请不要用于商业用途!
    3、本站提供的源码、模板、插件等等其他资源,都不包含技术服务请大家谅解!
    4、如有链接无法下载、失效或广告,请联系管理员处理!
    5、本站资源售价只是赞助,收取费用仅维持本站的日常运营所需!
    6、联系微信:A2022717!

    袁博客 » Sql server之sql注入篇

    常见问题FAQ

    免费下载或者VIP会员专享资源能否直接商用?
    本站所有资源版权均属于原作者所有,这里所提供资源均只能用于参考学习用,请勿直接商用。若由于商用引起版权纠纷,一切责任均由使用者承担。更多说明请参考 VIP介绍。
    提示下载完但解压或打开不了?
    最常见的情况是下载不完整: 可对比下载完压缩包的与网盘上的容量,若小于网盘提示的容量则是这个原因。这是浏览器下载的bug,建议用百度网盘软件或迅雷下载。 若排除这种情况,可在对应资源底部留言,或 联络我们.。
    你们有qq群吗怎么加入?
    当然有的,如果你是帝国cms、易优cms、和pbootcms系统的爱好者你可以加入我们的QQ千人交流群https://www.932t.com/page-qun.html。
    • 1130会员数(个)
    • 3212资源数(个)
    • 0本周更新(个)
    • 0 今日更新(个)
    • 335稳定运行(天)