làm thế nào để ngăn chặn SQL Injection trong một trang web asp.net

Question

Đối với nhập email trong một hộp văn bản bởi người sử dụng tôi đang làm kiểm tra phía khách hàng, để tìm xem email có giá trị hay không

string emailexist = "SELECT COUNT(DISTINCT UserID) as count FROM tbl_user WHERE Email=@Email ";  


    <asp:RegularExpressionValidator ID="RegularExpressionValidator2" ValidationGroup="Login" ControlToValidate="txtUserName" 
          ValidationExpression="\w+([-+.]\w+)*@\w+([-.]\w+)*\.\w+([-.]\w+)*" CssClass="Error" 
          runat="server" /> 

là thường xuyên này biểu hiện đủ tốt để ngăn chặn tiêm sql cho email.

chữ khác:

string groupExistQuery = "SELECT COUNT(DISTINCT GroupID) as count FROM tbl_group WHERE GroupName=@GroupName"; 

Tôi đang làm một truy vấn trong phía máy chủ để kiểm tra xem tên nhóm nhập vào bởi người sử dụng đã có sẵn trong cơ sở dữ liệu, có một khả năng mạnh mẽ để thực hiện tiêm sql đây. Làm thế nào tôi nên ngăn chặn nó.

Answer 1

Một regex là không liên quan để chèn SQL (danh sách đen, v.v. không bao giờ là cách tiếp cận mạnh nhất); tuy nhiên, việc sử dụng tham số @Email có nghĩa là (giả sử nó vẫn là được tham số hóa) là không dễ bị tiêm SQL.

Chèn SQL liên quan đến việc ghép nối đầu vào không phù hợp; công cụ chính để chống lại nó là các thông số đã xảy ra ở đây.

Ví dụ, nếu bạn đã làm:

var sql = "SELECT ...snip... WHERE Email='" + email + "'"; // BAD!!!!! 

sau đó rằng là nặng nề dễ bị SQL injection. Bằng cách sử dụng một tham số, giá trị không được coi là một phần của truy vấn, vì vậy kẻ tấn công không có vector tấn công.

Answer 2

Bạn có thể ngăn chặn bằng cách không sử dụng Direct SQL và sử dụng truy vấn được tham số hóa và/hoặc Thủ tục được lưu trữ thay thế.

Answer 3

Nếu bạn sử dụng giá trị được tham số hóa, bạn sẽ không sao, bạn không thể tiêm thông qua thông số, chỉ thông qua các giá trị được nối.

Answer 4

Here là thư trả lời từ Microsoft Pattern & Nhóm thực tiễn cho câu hỏi của bạn.

Nói chung, quy tắc đơn giản là: không sử dụng tạo SQL động và nếu bạn làm, hãy khử trùng đầu vào của bạn.

Không bao giờ chỉ nối các chuỗi để tạo truy vấn SQL của bạn. Nếu bạn cần xây dựng một truy vấn của riêng bạn trong ứng dụng của bạn, sau đó sử dụng các truy vấn SQL parametrized với các tham số - theo cách này bạn đang ở bên an toàn.

Dưới đây là một ví dụ từ các tài liệu tôi cung cấp các liên kết đến trên:

DataSet userDataset = new DataSet(); 
    SqlDataAdapter myCommand = new SqlDataAdapter( 
      "LoginStoredProcedure", connection); 
    myCommand.SelectCommand.CommandType = CommandType.StoredProcedure; 
    myCommand.SelectCommand.Parameters.Add("@au_id", SqlDbType.VarChar, 11); 
    myCommand.SelectCommand.Parameters["@au_id"].Value = SSN.Text; 

    myCommand.Fill(userDataset); 

Answer 5

1. Sử dụng parameterised giá trị
2. Mã hóa chuỗi của bạn