ASP.NET程序防范SQL注入式攻击的方法[1]

一什么是SQL注入式攻击?

所谓SQL注入式攻击就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串欺骗服务器执行恶意的SQL命令在某些表单中用户输入的内容直接用来构造(或者影响)动态SQL命令或作为存储过程的输入参数这类表单特别容易受到SQL注入式攻击常见的SQL注入式攻击过程类如

⑴ 某个ASPnet Web应用有一个登录页面这个登录页面控制着用户是否有权访问应用它要求用户输入一个名称和密码

⑵ 登录页面中输入的内容将直接用来构造动态的SQL命令或者直接用作存储过程的参数下面是ASPNET应用构造查询的一个例子

SystemTextStringBuilder query = new SystemTextStringBuilder(SELECT * from Users WHERE login = )Append(txtLoginText)Append( AND password=)Append(txtPasswordText)Append();

⑶ 攻击者在用户名字和密码输入框中输入或=之类的内容

⑷ 用户输入的内容提交给服务器之后服务器运行上面的ASPNET代码构造出查询用户的SQL命令但由于攻击者输入的内容非常特殊所以最后得到的 SQL命令变成SELECT * from Users WHERE login = or = AND password = or =

⑸ 服务器执行查询或存储过程将用户输入的身份信息和服务器中保存的身份信息进行对比

⑹ 由于SQL命令实际上已被注入式攻击修改已经不能真正验证用户身份所以系统会错误地授权给攻击者

如果攻击者知道应用会将表单中输入的内容直接用于验证身份的查询他就会尝试输入某些特殊的SQL字符串篡改查询改变其原来的功能欺骗系统授予访问权限

系统环境不同攻击者可能造成的损害也不同这主要由应用访问数据库的安全权限决定如果用户的帐户具有管理员或其他比较高级的权限攻击者就可能对数据库的表执行各种他想要做的操作包括添加删除或更新数据甚至可能直接删除表

二如何防范?

好在要防止ASPnet应用被SQL注入式攻击闯入并不是一件特别困难的事情只要在利用表单输入的内容构造SQL命令之前把所有输入内容过滤一番就可以了过滤输入内容可以按多种方式进行

⑴ 对于动态构造SQL查询的场合可以使用下面的技术

第一替换单引号即把所有单独出现的单引号改成两个单引号防止攻击者修改SQL命令的含义再来看前面的例子SELECT * from Users WHERE login = or = AND password = or =显然会得到与SELECT * from Users WHERE login = or = AND password = or =不同的结果

[] []