Как предотвратить SQL Injection

Question

Я использую хранимые процедуры. Чтобы сэкономить время, я сделал несколько общих процедур, которые используют динамический заказ sqlin для обновления. Такая типовая процедура:

CREATE PROCEDURE [dbo].[SetField] 
@company_id uniqueidentifier, 
@id bigint, 
@field_code nvarchar(50), 
@value nvarchar(50) 
AS 
BEGIN 
DECLARE @field_name nvarchar(50) 
SET @field_name = NULL 
SELECT @field_name=field_name 
FROM dbo.FIELD_DEFINITION 
WHERE field_code=@field_code 

IF @field_name IS NOT NULL 
BEGIN 

    IF @value IS NULL OR @value='' 
    BEGIN 
    SET @value='NULL' 
    END 
    ELSE 
    BEGIN 
    IF @field_code='START_DATE' OR @field_code='END_DATE' 
    BEGIN 
    SET @value = CONVERT(datetime, @value ,103) 
    END 
    SET @value=''''+@value+'''' 
    END 

    DECLARE @sql nvarchar(1000) 
    SET @sql = 'UPDATE dbo.TABLE '+ 
    'SET '+@field_name+'='+@value+' '+ 
    'WHERE company_id=''' + CAST(@company_id as nvarchar(36)) + ''' AND '+ 
    'id='+CAST(@id as nvarchar) 
    EXEC(@sql) 
END 
END 

Как я могу предотвратить инъекцию sql с помощью этого кода?

Answer 1

Важным аспектом, который следует помнить о внедрении SQL, является то, что, если это вообще возможно, , вы никогда не должны вставлять введенные пользователем значения непосредственно в ваш SQL-код. Это не означает, что вы не можете использовать динамический sql (хотя это определенно облегчает вам работу, если вы не), но иногда это становится более опасным.

В вашем конкретном примере вы можете сохранить параметризацию всего, кроме @field_name. Это, к сожалению, должно быть встроено непосредственно в SQL; все остальное может быть передано как параметр снова, поэтому нет необходимости беспокоиться об их содержании.

Самое безопасное, что вы можете сделать в этом конкретном примере, состоит в следующем:

if(exists (select 1 from INFORMATION_SCHEMA.Columns where TABLE_NAME = 'Table' and TABLE_SCHEMA = 'dbo' and COLUMN_NAME = @fieldName)) 
begin 
    DECLARE @sql nvarchar(1000) 
    SET @sql = 'UPDATE dbo.TABLE '+ 
     'SET ' + QUOTENAME(@field_name) + '=@value ' + 
     'WHERE company_id=@company_id AND '+ 
     'id=@id' 

    exec sp_executesql @sql,N'@id bigint, @company_id uniqueidentifier, @value nvarchar(50)',@id,@company_id,@value 
end 

Это делает две вещи:

1. Он проверяет, что есть на самом деле столбец с таким именем в Таблица. Если бы пользователь вставлял любые другие операторы SQL в это поле, то эта проверка завершилась бы неудачно, и оператор не будет выполнен. Вы также можете позвонить по телефону raiseerror, чтобы сообщить об ошибке, но я оставлю это упражнение вам.
2. Он содержит имя поля в квадратных скобках, так что имена полей, содержащие пробелы или зарезервированные слова, не будут нарушать оператор. Это может не быть проблемой для вас, но это всегда хорошая практика, если вы сами создаете SQL.

Answer 2

Я бы начал искать способы предотвращения атак с SQL-вторжением, прежде чем вы когда-нибудь позвоните в SP. Будьте осторожны с динамическими строками SQL, собранными вместе с запросами или данными формы. Используйте объект SqlCommand.

Редактировать: В ответ на комментарий здесь приведено хорошее объяснение того, как параметризованные запросы (запросы SqlCommand) помогают предотвратить SQL-инъекцию.

От http://forums.asp.net/t/1568268.aspx:

... Заполнитель - @Id - стала частью закодированного SQL. Во время выполнения значение, предоставленное запросом, передается в базу данных вместе с жестко запрограммированным SQL, и база данных проверяет поле ProductID, когда пытается связать значение параметра с ним. Это обеспечивает уровень сильной типизации. Если значение параметра не является правильным типом для поля базы данных (строка или числовые данные вне диапазона для типа поля), база данных не сможет преобразовать ее в нужный тип и отклонит ее. Если тип данных целевого поля является строкой (char, nvarchar и т. Д.), Значение параметра будет «стрифицировано» автоматически, что включает в себя экранирование одиночных кавычек. Он не станет частью выполняемого SQL-оператора.

Answer 3

Вы сказали:

Для того, чтобы сэкономить время, я сделал некоторые общие процедуры, которые использует динамический SQL, чтобы обновить

Если бы вы спросили первых, мы могли бы иметь сэкономленное время и предложили это ...

UPDATE 
    dbo.TABLE 
SET 
    Field1 = CASE WHEN @field_name = 'Field1' THEN @value ELSE Field1 END, 
    Field2 = CASE WHEN @field_name = 'Field2' THEN @value ELSE Field2 END, 
    Field3 = CASE WHEN @field_name = 'Field3' THEN @value ELSE Field3 END, 
    ... 
    Fieldn = CASE WHEN @field_name = 'Fieldn' THEN @value ELSE Fieldn END 
WHERE 
    company_id = @company_id AND id = @id