SQL Injection на SQL Server 2012

Question

stackoverflow очень помог мне в карьере кодирования, всегда имея правильные ответы на мои вопросы. Однако этот вопрос может быть немного конкретным, и, надеюсь, он не получит суровых ответов, поскольку это мое первое сообщение на сайте.

Я заинтересован в создании хранимой процедуры SQL Server 2012, которая позволяет пользователям искать различные столбцы. Я считаю, что я создал хранимый процесс, который делает то, что я ожидаю, но я обеспокоен попытками SQL Injection. Я рассмотрел все мои доступные базы с SQL Injection? Если нет, пожалуйста, просветите меня о способах обхода моего образца, хранящегося в процессе. Обратите внимание: тот, который был отмечен, был изменен для защиты структуры данных компании.

хранимых процедур:

CREATE PROCEDURE [dbo].[spSearch] 
(  
    @searchTerm varchar(50) = NULL 
) 
AS 

set @searchTerm = LTRIM(RTRIM(@searchTerm)); 

select a.ID 
     ,a.Col1 
     ,a.Col2 
     ,a.Col3 
     ,a.Col4 
     ,a.Col5 
     ,b.Col1 
from table1 a 
left join table2 b on a.ID = b.ID 
where (a.Col1 like '%' + @searchTerm + '%' 
    or a.Col2 like '%' + @searchTerm + '%' 
    or a.Col3 like '%' + @searchTerm + '%' 
    or a.Col4 like '%' + @searchTerm + '%' 
    or b.Col1 like '%' + @searchTerm + '%' 
    or b.Col2 like '%' + @searchTerm + '%' 
    or b.Col3 like '%' + @searchTerm + '%' 
    or b.Col4 like '%' + @searchTerm + '%' 
    or b.Col5 like '%' + @searchTerm + '%' 
    or b.Col6 like '%' + @searchTerm + '%') 
GO 

Моя главная проблема заключается в вешать прохождения враждебную SQL команды в параметр VARCHAR 50 символов и с его выполнять в любом из различных, где, как оговорок.

Answer 1

Это действительно зависит от того, как вы вызываете SP из кода. Сохраненная процедура - это не безопасно для SQL-инъекции. Когда вы используете параметризованные функции, вы, вероятно, хорошо. Когда вы отправляете sql-запросы в виде строки, у вас все еще есть проблема с SQL-инъекцией. Основной проблемой является конкатенация строк в вашем коде. Конкатенации строк никогда не будут безопасными, если у вас есть параметры из ненадежного источника. Do Stored Procedures Protect Against SQL Injection?

Основной урок состоит в том, чтобы написать хранимые процедуры без каких-либо конкатенаций строк.