Comment un assainissement qui échappe à des guillemets simples peut-il être vaincu par L'injection SQL dans SQL Server?

avec quelques stipulations supplémentaires, votre approche ci-dessus n'est pas vulnérable à L'injection SQL. Le principal vecteur d'attaque à considérer est la contrebande SQL. La contrebande de SQL se produit lorsque des caractères unicodes similaires sont traduits d'une manière inattendue (par exemple "passer à"). Il existe plusieurs endroits où une pile d'application pourrait être vulnérable à la contrebande SQL.

• le langage de programmation gère-t-il les chaînes unicode? de manière appropriée? si le langage n'est pas conscient d'unicode, il peut mal identifier un octet dans un caractère unicode comme une simple citation et l'échapper.

• la bibliothèque de la base de données client (par exemple ODBC, etc) gère-t-elle les chaînes unicode de manière appropriée? Système .Données.SqlClient dans le framework .Net le fait, mais qu'en est-il des anciennes bibliothèques de l'ère windows 95? Les bibliothèques ODBC tiers existent effectivement. Que se passe-t-il si le pilote ODBC ne supporte pas unicode dans la chaîne de requête?

• le DB gère-t-il correctement l'entrée? les versions modernes de SQL sont immunisées en supposant que vous utilisez N", mais QU'en est-il de SQL 6.5? SQL 7.0? Je ne suis pas au courant d'aucune vulnérabilité particulière, mais ce n'était pas sur le radar pour les développeurs dans les années 1990.

• dépassements de la mémoire Tampon? une autre préoccupation est que le la chaîne Citée est plus longue que la chaîne originale. Dans quelle version de Sql Server la limite de 2 Go pour l'entrée a-t-elle été introduite? Avant ça, quelle était la limite? Sur les anciennes versions de SQL, que s'est-il passé quand une requête a dépassé la limite? Existe-t-il des limites quant à la longueur d'une requête du point de vue de la bibliothèque réseau? Ou sur la longueur de la chaîne dans le langage de programmation?

• y a-t-il des paramètres linguistiques qui affectent la comparaison utilisée dans la fonction de remplacement ()? .Net effectue toujours une comparaison binaire pour la fonction Replace (). Sera toujours le cas? Que se passe-t-il si une future version de .NET supporte la suppression de ce comportement dans l'application?config? Que faire si nous avons utilisé un regexp au lieu de Replace() pour insérer un seul devis? L'ordinateur, les paramètres régionaux affectent cette comparaison? Si un changement de comportement se produisait, il pourrait ne pas être vulnérable à l'injection sql, cependant, il peut avoir j'ai modifié la chaîne de caractères par inadvertance en changeant un caractère uni-code qui ressemblait à une simple citation en une seule citation avant qu'elle n'atteigne la base de données.

donc, en supposant que vous utilisez le système.Chaîne.Remplacer () la fonction en C# sur la version actuelle de .Net avec la bibliothèque SqlClient intégrée contre une version actuelle (2005-2012) de SQL server, alors votre approche n'est pas vulnérable. Comme vous commencer à changer les choses, alors aucune promesse ne peut être faite. Le requête paramétrée approche est la bonne approche pour l'efficacité, de performance, et (dans certains cas) pour plus de sécurité.

AVERTISSEMENT Les commentaires ci-dessus ne sont pas une approbation de cette technique. Il y a plusieurs autres très bonnes raisons pour lesquelles c'est la mauvaise approche pour générer SQL. Toutefois, les détailler dépasse le cadre de cette question.

NE PAS UTILISER CETTE TECHNIQUE POUR UN NOUVEAU DÉVELOPPEMENT.

NE PAS UTILISER CETTE TECHNIQUE POUR UN NOUVEAU DÉVELOPPEMENT.

NE PAS UTILISER CETTE TECHNIQUE POUR UN NOUVEAU DÉVELOPPEMENT.

utiliser les paramètres de requête est meilleur, plus facile et plus rapide que d'échapper à des guillemets.

concernant votre commentaire, je vois que vous avez reconnu la paramétrisation, mais elle mérite d'être soulignée. Pourquoi voudriez-vous d'utiliser échapper lorsque vous pouvez paramétrer?

In Advanced SQL Injection In SQL Server Applications , rechercher le mot "replace" dans le texte, et à partir de ce point sur lire quelques exemples où les développeurs ont par inadvertance permis des attaques par injection SQL même après avoir échappé à l'entrée de l'utilisateur.

il y a un cas de bordure où le fait d'échapper à des guillemets avec \ entraîne une vulnérabilité, parce que le \ devient la moitié d'un caractère valide de plusieurs octets dans certains jeux de caractères. Mais cela ne s'applique pas à votre cas puisque \ n'est pas le personnage fuyant.

comme d'autres l'ont souligné vous pouvez également ajouter du contenu dynamique à votre SQL pour autre chose qu'une chaîne de caractères littérale ou une date littérale. Les identificateurs de Table ou de colonne sont délimités par " en SQL, ou [ ] en Microsoft/Sybase. Les mots-clés SQL n'ont évidemment pas de délimiteurs. Pour ces cas, je recommande liste blanche les valeurs à interpoler.

la ligne de fond est que l'évasion est une défense efficace, si vous pouvez vous assurer que vous faire de manière cohérente. C'est le risque: celui de l'équipe de développeurs sur votre demande pourrait omettre une étape et faire de la chaîne d'interpolation mal.

bien sûr, il en va de même pour d'autres méthodes, comme la paramétrisation. Ils ne sont efficaces que si vous les faites avec constance. Mais je trouve qu'il est plus facile d'utiliser les paramètres plus rapidement que de trouver le bon type d'échappement. Et les développeurs sont plus susceptibles d'utiliser une méthode est pratique et ne les ralentit pas.

SQL injection se produire si l'utilisateur a fourni des intrants sont interprétées comme des commandes. Ici commande signifie Tout ce qui n'est pas interprété comme un reconnu type de données littéral.

maintenant, si vous utilisez l'entrée de l'utilisateur uniquement dans les littérales de données, spécifiquement seulement dans les littérales de chaîne, l'entrée de l'utilisateur ne serait interprété comme quelque chose de différent que des données de chaîne si elle serait en mesure de quitter le contexte littéral de chaîne. Pour chaîne de caractères ou Unicode les littéraux de chaîne, c'est le guillemet simple qui entoure les données littérales tout intégré guillemet simple besoin d'être représenté avec deux guillemets simples.

ainsi, pour laisser un contexte littéral à une chaîne de caractères, il faudrait fournir un seul guillemet (sic) puisque deux guillemets simples sont interprétés comme des données littérales de chaîne de caractères et non comme le délimiteur de fin littérale de chaîne de caractères.

donc si vous remplacez un seul guillemet dans le données fournies par les utilisateurs par deux guillemets simples, il sera impossible pour l'utilisateur de quitter la chaîne de caractères littérale contexte.

SQL peut se faire via unicode. Si l'application web a une URL comme celle-ci:

http://mywebapp/widgets/?Code = ABC

qui génère comme SQL sélectionnez * à partir des widgets où Code = 'ABC'

mais un hacker entre ceci:

http://mywebapp/widgets/?Code = ABC % CA % BC; drop widgets de table --

le SQL ressemblera à sélectionner * à partir des widgets où Code = 'ABC’; DROP TABLE widgets-- '

et SQL Server exécutera deux instructions SQL. Pour faire la sélection et à la baisse. Votre code convertit probablement le %CA % BC encodé en url en unicode U02BC qui est un"modificateur de lettre apostrophe". La fonction Replace dans .Net ne traitera pas cela comme un devis unique. Cependant Microsoft SQL Server le traite comme un devis simple. Voici un exemple qui permettra probablement L'Injection SQL:

string badValue = ((char)0x02BC).ToString();
badValue = badValue + ";delete from widgets--";
string sql = "SELECT * FROM WIDGETS WHERE ID=" + badValue.Replace("'","''");
TestTheSQL(sql);

il n'y a probablement aucun moyen sûr à 100% Si vous faites la concaténation de chaîne. Ce que vous pouvez faire est d'essayer de vérifier le type de données pour chaque paramètre et si tous les paramètres passent une telle validation alors allez de l'avant avec l'exécution. Par exemple, si votre paramètre doit être de type int et que vous obtenez quelque chose qui ne peut pas être converti en int, alors rejetez-le.

cela ne fonctionne pas si vous acceptez les paramètres nvarchar.

comme d'autres l'ont déjà souligné hors. La façon la plus sûre est d'utiliser la requête paramétrée.