Wie kann Hygiene, die einfachen Anführungszeichen entgeht, durch SQL Injection in SQL Server besiegt werden?

Gibt es ein paar Fälle, in denen diese escape-Funktion fehl. Der offensichtlichste ist, wenn ein einzelnes Zitat nicht verwendet:

string table= "\"" + table.Replace("'", "''") + "\""
string var= "`" + var.Replace("'", "''") + "`"
string index= " " + index.Replace("'", "''") + " "
string query = "select * from `"+table+"` where name=\""+var+"\" or id="+index

In diesem Fall, können Sie "brechen aus" mit einer double-quote, um ein back-tick. Im letzten Fall gibt es nichts zu "break out", so kann man nur schreiben 1 union select password from users-- oder was auch immer sql Nutzlast der Angreifer wünscht.

Den nächsten Zustand, in dem Sie diese escape-Funktion fehl, wenn Sie einen sub-string nach dem string maskiert (und ja ich haben Schwachstellen, wie dies in der wild):

string userPassword= userPassword.Replace("'", "''")
string userName= userInput.Replace("'", "''")
userName = substr(userName,0,10)
string query = "select * from users where name='"+userName+"' and password='"+userPassword+"'";

In diesem Fall der Benutzername abcdefgji' wird verwandelt werden in abcdefgji'' durch die escape-Funktion und wandte sich dann wieder in abcdefgji' durch die Berücksichtigung der sub-string. Dies kann ausgenutzt werden, indem die Kennwort-Wert in einer beliebigen sql-Anweisung, in diesem Fall or 1=1-- würde interpretiert werden als sql und der username würde interpretiert werden als abcdefgji'' and password=. Die resultierende Abfrage ist wie folgt:

select * from users where name='abcdefgji'' and password=' or 1=1-- 

T-SQL und andere fortgeschrittene sql-injection-Techniken, bei denen schon erwähnt. Advanced SQL Injection In SQL Server Applications ist eine große Papier-und Sie sollten es Lesen, wenn Sie nicht bereits getan haben.

Das Letzte Problem, unicode-Attacken. Diese Klasse von Sicherheitsanfälligkeiten, die entsteht, weil die escape-Funktion ist nicht bekannt, mulit-byte-Codierung, und dies kann die von einem Angreifer verwendet, um zu "konsumieren" das escape-Zeichen. Voranstellen eines "N", um die Zeichenfolge wird nicht helfen, da dies keinen Einfluss auf den Wert der Multibyte-chars später in der Zeichenfolge. Jedoch, diese Art von Angriff ist sehr ungewöhnlich, weil die Datenbank muss so konfiguriert werden, akzeptieren GBK unicode-strings (und ich bin nicht sicher, dass MS-SQL kann).

Second-Order-code-Injektion ist immer noch möglich, diesen Angriff Muster ist erstellt durch das Vertrauen, die einem Angreifer Datenquellen. Die Flucht wird zum darstellen von steuerzeichen, da Ihre Zeichen-literal. Wenn der Entwickler vergisst, zu entkommen, ein Wert, erhalten aus einer select und verwendet dann diesen Wert in einer anderen Abfrage, dann bam die Angreifer haben ein Zeichen-literal einziges Zitat zur Verfügung stellen.

Test alles, Vertrauen nichts.

InformationsquelleAutor der Antwort rook

Mit dem Abfrage-Parameter ist einfacher, besser und schneller als die Flucht Anführungszeichen.

Re Ihren Kommentar, ich sehe, dass Sie bestätigten, dass die Parametrisierung, aber es verdient Betonung. Warum würden Sie wollen, verwenden Sie die Flucht, wenn Sie parametrisieren?

In Advanced SQL Injection In SQL Server ApplicationsSuche nach dem Wort "ersetzen" in den text, und Lesen Sie einige Beispiele, wo Entwickler versehentlich erlaubt SQL-injection-Angriffe auch nach der Flucht von Benutzereingaben.

Gibt eine Kante Fall, wo die Flucht Zitate mit \ Ergebnisse in eine Sicherheitsanfälligkeit, weil die \ wird die Hälfte der ein gültiges Multibyte-Zeichen in einem Charakter-sets. Aber dies ist nicht anwendbar auf Ihren Fall zu, da \ ist nicht die Flucht Charakter.

Wie andere haben darauf hingewiesen, Sie können auch hinzufügen dynamischer Inhalte, um Ihre SQL für etwas anderes als ein string-literal oder Datum-literal. Tabelle oder Spalte Bezeichner getrennt durch " in SQL, oder [ ] im Microsoft/Sybase. SQL-Schlüsselwörter natürlich nicht irgendwelche Trennzeichen. Für diese Fälle empfehle ich whitelisting die Werte zu interpolieren.

Quintessenz ist, dass die Flucht ist eine wirksame Verteidigung, wenn Sie sicherstellen können, dass Sie es konsequent tun. Das ist die Gefahr: dass einer der Entwickler-team auf Ihre Bewerbung weglassen könnte, einen Schritt zu tun und einige string-interpolation nicht sicher ist.

Natürlich, das gleiche gilt für die anderen Methoden, wie der Parametrisierung. Sie sind nur wirksam, wenn Sie Sie konsequent. Aber ich finde es einfacher, schneller, Parameter zu verwenden, als die, um herauszufinden, die richtige Art von Flucht. Und die Entwickler sind eher zu verwenden, eine Methode, die bequem ist und nicht langsam nach unten.

InformationsquelleAutor der Antwort Bill Karwin

SQL-Injektion auftreten können, die über unicode. Wenn die web-app eine URL wie diese:

http://mywebapp/widgets/?Code=ABC

generiert SQL wie
select * from widgets where Code = 'ABC'

aber ein hacker in dieses:

http://mywebapp/widgets/?Code=ABC%CA%BC;drop Tabelle widgets--

SQL Aussehen wird
select * from widgets where Code = 'ABC';drop table-widgets--'

und SQL Server laufen wird, werden zwei SQL-Anweisungen. Eine zu tun, das wählen und tun die Tropfen.
Ihr code wahrscheinlich konvertiert url-kodierte %CA%BC in unicode U02BC was ist ein "Modifier letter apostrophe". Die Ersetzen-Funktion in .Net wird NICHT behandeln, als ein einziges Zitat. Jedoch Microsoft SQL Server behandelt es wie ein einziges Zitat. Hier ist ein Beispiel, wird wahrscheinlich erlauben SQL-Injection:

string badValue = ((char)0x02BC).ToString();
badValue = badValue + ";delete from widgets--";
string sql = "SELECT * FROM WIDGETS WHERE ID=" + badValue.Replace("'","''");
TestTheSQL(sql);

InformationsquelleAutor der Antwort Rob Kraft