Người dùng của tôi có thể tiêm sql động của tôi không?

Question

Tôi là một nhà phát triển máy tính để bàn viết cho người dùng nội bộ, vì vậy tôi không lo lắng về tin tặc độc hại, nhưng tôi muốn biết nếu có bất cứ điều gì họ có thể nhập khi cập nhật một giá trị sẽ thực thi sql trên máy chủ.

Doanh nghiệp xác định lược đồ nội dung của họ và tôi có một ứng dụng CRUD cho họ không cần phải thay đổi khi thay đổi lược đồ của họ vì chi tiết xác thực được định hướng theo bảng và cập nhật bằng SQL động. Tôi phải hỗ trợ dấu nháy đơn trong mục nhập dữ liệu của họ, vì vậy khi họ nhập chúng, tôi tăng gấp đôi chúng trước khi SQL được thực thi trên máy chủ. Từ những gì tôi đã đọc, tuy nhiên, điều này không đủ để ngăn chặn tiêm.

Vì vậy, câu hỏi của tôi là, văn bản nào họ có thể nhập vào trường văn bản dạng tự do có thể thay đổi thứ gì đó trên máy chủ thay vì được lưu trữ dưới dạng giá trị bằng chữ?

Về cơ bản, tôi đang xây dựng một câu lệnh SQL trong thời gian chạy mà theo mẫu:

cập nhật bảng thiết lập trường = giá trị nơi pkField = pkVal

với mã này VB.NET:

Friend Function updateVal(ByVal newVal As String) As Integer 
    Dim params As Collection 
    Dim SQL As String 
    Dim ret As Integer 

    SQL = _updateSQL(newVal) 
    params = New Collection 
    params.Add(SQLClientAccess.instance.sqlParam("@SQL", DbType.String, 0, SQL)) 
    Try 
     ret = SQLClientAccess.instance.execSP("usp_execSQL", params) 
    Catch ex As Exception 
     Throw New Exception(ex.Message) 
    End Try 
    Return ret 
End Function 

Private Function _updateSQL(ByVal newVal As String) As String 
    Dim SQL As String 
    Dim useDelimiter As Boolean = (_formatType = DisplaySet.formatTypes.text) 
    Dim position As Integer = InStr(newVal, "'") 
    Do Until position = 0 
     newVal = Left(newVal, position) + Mid(newVal, position)  ' double embedded single quotes ' 
     position = InStr(position + 2, newVal, "'") 
    Loop 
    If _formatType = DisplaySet.formatTypes.memo Then 
     SQL = "declare @ptrval binary(16)" 
     SQL = SQL & " select @ptrval = textptr(" & _fieldName & ")" 
     SQL = SQL & " from " & _updateTableName & _PKWhereClauses 
     SQL = SQL & " updatetext " & _updateTableName & "." & _fieldName & " @ptrval 0 null '" & newVal & "'" 
    Else 
     SQL = "Update " & _updateTableName & " set " & _fieldName & " = " 
     If useDelimiter Then 
      SQL = SQL & "'" 
     End If 
     SQL = SQL & newVal 
     If useDelimiter Then 
      SQL = SQL & "'" 
     End If 
     SQL = SQL & _PKWhereClauses 
    End If 
    Return SQL 
End Function 

khi tôi cập nhật trường văn bản thành giá trị

Redmond '; thả bảng OrdersTable--

nó tạo ra:

Update caseFile set notes = 'Redmond''; drop table OrdersTable--' where guardianshipID = '001168-3' 

và cập nhật các giá trị cho các giá trị văn chương họ đã nhập.

Họ có thể nhập mã SQL nào khác?

Một lần nữa, tôi không lo lắng ai đó muốn hack máy chủ trong công việc của họ, nhưng muốn biết làm thế nào nếu họ có thể vô tình dán văn bản từ một nơi khác và phá vỡ một cái gì đó.

Cảm ơn.

Answer 1

Giả sử bạn thoát khỏi chuỗi ký tự (từ những gì bạn nói bạn đang làm), bạn nên an toàn. Điều duy nhất tôi có thể nghĩ là nếu bạn sử dụng một ký tự unicode dựa trên thiết lập để giao tiếp với cơ sở dữ liệu, hãy chắc chắn rằng các chuỗi bạn gửi là hợp lệ trong mã hóa đó.

Answer 2

Vì xấu khi mã tăng gấp đôi của bạn là (: p - Hãy thử String.Replace thay thế.) Tôi chắc chắn rằng sẽ thực hiện công việc.

Answer 3

Các chỉ an toàn giả định là nếu bạn không sử dụng các truy vấn tham số (và bạn không, độc quyền, ở đây, bởi vì bạn đang concatenating chuỗi đầu vào sql của bạn), sau đó bạn không an toàn .

Answer 4

Bất kể cách bạn làm sạch đầu vào của người dùng làm tăng bề mặt tấn công là vấn đề thực sự với những gì bạn đang làm. Nếu bạn nhìn lại lịch sử của SQL Injection, bạn sẽ nhận thấy rằng những cách mới và thậm chí còn sáng tạo hơn để tàn phá qua chúng đã xuất hiện theo thời gian. Mặc dù bạn có thể tránh được cái đã biết, nó luôn là những gì ẩn nấp quanh góc khiến cho loại mã này khó sản xuất. Bạn sẽ tốt hơn nếu chỉ sử dụng một cách tiếp cận khác.

Answer 5

Bạn sẽ không bao giờ bao giờ muốn xây dựng một câu lệnh SQL bằng cách sử dụng đầu vào của người dùng mà sau đó sẽ được thực thi trực tiếp. Điều này dẫn đến các cuộc tấn công SQL injection, như bạn đã tìm thấy. Nó sẽ là tầm thường cho một ai đó để thả một bảng trong cơ sở dữ liệu của bạn, như bạn đã mô tả.

Bạn muốn sử dụng truy vấn được tham số hóa, trong đó bạn tạo chuỗi SQL sử dụng trình giữ chỗ cho giá trị, sau đó chuyển giá trị vào cho các tham số đó.

Sử dụng VB bạn muốn làm điều gì đó như:

'Define our sql query' 
Dim sSQL As String = "SELECT FirstName, LastName, Title " & _ 
        "FROM Employees " & _ 
        "WHERE ((EmployeeID > ? AND HireDate > ?) AND Country = ?)" 

'Populate Command Object' 
Dim oCmd As New OledbCommand(sSQL, oCnn) 

'Add up the parameter, associated it with its value' 
oCmd.Parameters.Add("EmployeeID", sEmpId) 
oCmd.Parameters.Add("HireDate", sHireDate) 
oCmd.Parameters.Add("Country", sCountry) 

(ví dụ lấy từ here) (cũng không Tôi không phải là một lập trình viên VB vì vậy đây có thể không phải cú pháp thích hợp, nhưng nó được điểm qua)

Answer 6

Bạn cũng có thể đánh giá giải pháp thay thế. Tạo động của SQL với các tham số. Một cái gì đó như thế này:

// snippet just for get the idea 
var parameters = new Dictionary<string, object>(); 
GetParametersFromUI(parameters); 


if (parameters.ContainsKey("@id")) { 
    whereBuilder.Append(" AND id = @id"); 
    cmd.Parameters.AddWithValue("@id", parameters["@id"]); 
} 
...