Внедрение SQL на ВСТАВКЕ

Используйте параметризированные запросы так, чтобы текст был автоматически заключен в кавычки для Вас.

SqlCommand command = connection.CreateCommand();
command.CommandText = "insert into dbo.Table (val1,val2,txt) values (@val1,@val2,@txt)";
command.AddParameterWithValue( "val1", value1 );
command.AddParameterWithValue( "val2", value2 );
command.AddParameterWithValue( "txt", text );

...

Внедрение SQL может произойти любое время, Вы пасуете назад запрос к базе данных. Вот простая демонстрация:

Объясненное внедрение SQL

Ключ, в.NET, должен сделать, поскольку Dave Webb дал. Это предотвратит инжекционную попытку путем затрагивания всей строки как одного параметра, который будет отправлен, обработки всех символов, которые могли бы быть интерпретированы SQL Server, чтобы изменить запрос или добавить дополнительные команды.

И нужно указать, что Внедрение SQL может произойти на любом приложении, не просто веб-приложениях. И что внутренняя атака является обычно самой дорогостоящей к организации. Нельзя безопасно предположить, что нападение не произойдет из.

Да, это может. Скажем, клиент отправляет это:

OR 1 = 1

Это может быть очень болезненно для Вашего

  SELECT * FROM admin WHERE name = @name AND password = @password

Можно предотвратить это с

• использование класса Параметра из ADO.NET
• использование regexp
• чтение, чтение: http://www.codeproject.com/KB/database/SqlInjectionAttacks.aspx

Да, они могут произойти. Самый легкий способ принять меры против этого состоит в том, чтобы использовать подготовленные операторы вместо того, чтобы создать SQL вручную.

Так, а не это:

String sql = 
 String.Format("INSERT INTO mytable (text_column) VALUES ( '{0}' )",
   myTextBox.Text); // Unsafe!

Вы сделали бы что-то вроде этого:

String sql = "INSERT INTO mytable (text_column) VALUES ( ? )"; // Much safer

Затем добавьте текст текстового поля в качестве параметра к Вашему DbCommand, который заставит это быть автоматически оставленным и заменит"?" в SQL.

В дополнение к использованию подготовленных операторов и параметров вместо того, чтобы связать строки в Ваш SQL необходимо также сделать следующее:

1. Проверьте и ввод данных пользователем формата на стороне сервера. Клиентская проверка и пределы могут легко быть обходами с инструментами как WebScarab, или путем спуфинга формы.

2. Настройте соответствующие полномочия для учетной записи пользователя базы данных. Веб-приложение должно использовать отдельную учетную запись или роль в Вашей базе данных с полномочиями, ограниченными только таблицами, представлениями и процедурами, требуемыми запустить Ваше приложение. Удостоверьтесь, что пользователь не имеет избранных прав на системных таблицах

3. Скройте подробные сообщения об ошибках от пользователей и используйте менее общие названия для своих объектов. Это поражает меня, как часто можно определить тип сервера (оракул, mysql, sqlserver) и найти основную информацию о схеме в сообщении об ошибке и затем получить информацию от таблиц, названных 'пользователем (пользователями)', 'сотрудником (сотрудниками)'. Если Вы не установили свои полномочия как в (2), и я могу определить Ваш тип сервера, Вы открыты для операторов как это для SQL Server

   ВЫБЕРИТЕ table_name ИЗ information_schema.table

   ВЫПОЛНИТЕ sp_help foundTableName

Самый легкий способ принять меры против той формы Внедрения SQL, должен использовать параметры и хранимые процедуры, скорее затем создающие sql операторы для выполнения. (В C# или внутренне к SQL Server).

Однако я не совсем уверен, что необходимо проводить время на этом, если, конечно, это не корпоративная политика, поскольку возможности его когда-либо происходящий внутренне минимальны в лучшем случае и если бы это действительно происходило, то я надеялся бы, что Вы сразу знали бы, кто это.