如何避免我的ASP.NET应用程序中的SQL注入攻击？

19

即使你的问题是非常通用的，总有几个规则：

使用参数化查询（SqlCommand与SqlParameter），并把用户输入的参数。
不要从未经检查的用户输入中构建SQL字符串。
不要以为你可以建立一个消毒程序，可以检查用户输入的每一种格式错误。边缘情况很容易被遗忘。检查数字输入可能很简单，可以让您安全起见，但对于字符串输入只需使用参数。
检查二级漏洞 - 如果这些值由用户输入组成，请不要从SQL表值中构建SQL查询字符串。
使用存储过程来封装数据库操作。发生

来源

2008-11-20 12:03:06 Tomalak

+0

所有这些，除了最后一个之外，都是第一个隐含的（如果所有的输入通过使用准备好的语句（或参数化查询）正确地逃脱了），否？或者你认为存在细微的差异？ – 2008-11-20 12:16:09

+1

不可以。但是，有人提出这类问题的可能性很大，但对这些问题的含义并没有明确的理解。让他们明确是支持理解。随着你的抽象经验和能力的提高，你不需要明确，而且你不可能再提出这样的问题。 – Tomalak 2008-11-20 14:14:12

+0

这是一个很好的答案，但我觉得“使用存储过程来封装数据库操作”是有误导性的。参数化动态SQL与参数化存储过程一样安全。为了清楚起见，也许你应该在答案中更加隐含。 – 2009-08-06 20:08:00

-4

尝试使用存储过程，并验证数据的输入。不要使用任何直接SQL，如INSERT INTO ...

来源

2008-11-20 11:52:39 MysticSlayer

+0

存储过程有没有关系，你可以通过不参数化呼叫以不安全的方式执行SP。 – Flory 2008-11-20 16:39:00

16

使用Prepared Statements（链接到一个ASP.NET教程，该教程使用'为产品添加节点'部分中的准备语句）。这里的所有都是它的。

那么，或者使用ORM，如Linq to SQL或NHibernate，它们在内部使用预准备语句。

来源

2008-11-20 11:57:59

4

SQL注入，因为查询到数据库中实时地构建，例如：

SELECT * From Table1 WHERE " + UserInput

UserInput可能是恶意的，并包含您不打算等说法。

要避免它，您需要避免将查询连接在一起。

您可以通过使用参数化查询来完成此操作 - 查看DBCommand对象以了解您的特定DB风格。

来源

2008-11-20 14:10:06

10

使用参数！它真的就是这么简单:-)

创建您的查询像这样（MS SQL Server的用C＃）：

SqlCommand getPersons = new SqlCommand("SELECT * FROM Table WHERE Name = @Name", conn);

这里@Name是要避免SQL注入的参数，conn是一个SqlConnection对象。然后添加你做下面的参数值：

getPersons.Parameters.AddWithValue("@Name", theName);

这里theName是包含您正在搜索的名称的变量。

现在应该不可能对该查询执行任何sql注入。

由于这是这么简单，没有理由不使用参数。

来源

2008-11-20 14:18:04

1

希望这将帮助：

http://www.codersbarn.com/post/2008/11/01/ASPNET-Data-Input-Validation.aspx

简短的回答是使用参数化查询。

安东尼:-) www.codersbarn.com

来源

2008-12-01 05:26:59 IrishChieftain

3

斯科特·格思里posted a decent little article这个而回。在书中，他提供了保护自己5点建议：

不要构造动态SQL语句，而不使用类型安全参数编码机制。[...]

之前，请务必进行应用程序的安全性审核的把它放在生产，并建立一个正式的安全程序，审查所有的代码，你随时进行更新。[...]

决不存储在数据库中明文敏感数据。[...]

确保你写自动化单元测试验证具体数据访问层和应用程序不受SQL注入攻击。[...]

锁定你的数据库只授予Web应用程序访问它的最小权限集，它需要的功能。[...]