【�{】参数化查询��Z��么能够防止SQL注入

Wed, 16 Jan 2013 14:09:00 GMT

很多人都知道SQL注入�Q�也知道SQL参数化查询可以防止SQL注入�Q�可��Z��么能防止注入却�ƈ不是很多人都知道的�?/p>

本文主要讲述的是�q�个问题�Q�也�怽�在部分文章中看到�q�这块内容，当然了看看也无妨�?/p>

首先�Q�我们要了解SQL收到一个指令后所做的事情�Q?/p>

具体�l�节可以查看文章�Q?a >Sql Server �~�译、重�~�译与执行计划重用原�?

在这里，我简单的表示为：(x��) 收到指��o(h��) -> �~�译SQL生成执行计划 ->选择执行计划 ->执行执行计划�?/span>

具体可能有点不一��P��但大致的步骤如上所�C��?/p>

接着我们来分�?strong>��Z��么拼接SQL 字符串会(x��)��D��SQL注入的风险呢�Q?/p>

首先创徏一张表Users:

CREATE TABLE [dbo].[Users](  [Id] [uniqueidentifier] NOT NULL,  [UserId] [int] NOT NULL,  [UserName] [varchar](50) NULL,  [Password] [varchar](50) NOT NULL,   CONSTRAINT [PK_Users] PRIMARY KEY CLUSTERED   (  [Id] ASC  )WITH (PAD_INDEX  = OFF, STATISTICS_NORECOMPUTE  = OFF, IGNORE_DUP_KEY = OFF, ALLOW_ROW_LOCKS  = ON, ALLOW_PAGE_LOCKS  = ON) ON [PRIMARY]  ) ON [PRIMARY]

插入一些数据：(x��)

INSERT INTO [Test].[dbo].[Users]([Id],[UserId],[UserName],[Password])VALUES (NEWID(),1,'name1','pwd1'); INSERT INTO [Test].[dbo].[Users]([Id],[UserId],[UserName],[Password])VALUES (NEWID(),2,'name2','pwd2'); INSERT INTO [Test].[dbo].[Users]([Id],[UserId],[UserName],[Password])VALUES (NEWID(),3,'name3','pwd3'); INSERT INTO [Test].[dbo].[Users]([Id],[UserId],[UserName],[Password])VALUES (NEWID(),4,'name4','pwd4'); INSERT INTO [Test].[dbo].[Users]([Id],[UserId],[UserName],[Password])VALUES (NEWID(),5,'name5','pwd5');

假设我们有个用户��d��的页面，代码如下�Q?/p>

验证用户��d��的sql 如下�Q?/p>

select COUNT(*) from Users where Password = 'a' and UserName = 'b'

�q�段代码�q�回Password 和UserName都匹配的用户数量�Q�如果大�?的话�Q�那么就代表用户存在�?/p>

本文不讨论SQL 中的密码�{�略�Q�也不讨��Z��码规范，主要是讲��Z��么能够防止SQL注入�Q�请一些同学不要纠�l�与某些代码�Q�或者和SQL注入无关的主题�?/strong>

可以看到执行�l�果�Q?/p>

�q�个是SQL profile 跟踪的SQL 语句�?/p>

注入的代码如下：(x��)

select COUNT(*) from Users where Password = 'a' and UserName = 'b' or 1=1—'

�q�里有�h��UserName讄��Z�� “b' or 1=1 –”.

实际执行的SQL��变成了如下�Q?/p>

可以很明昄��看到SQL注入成功了�?/p>

很多人都知道参数化查�?/strong>可以避免上面出现的注入问题，比如下面的代码：(x��)

class Program { private static string connectionString = "Data Source=.;Initial Catalog=Test;Integrated Security=True"; static void Main(string[] args) { Login("b", "a"); Login("b' or 1=1--", "a"); } private static void Login(string userName, string password) { using (SqlConnection conn = new SqlConnection(connectionString)) { conn.Open(); SqlCommand comm = new SqlCommand(); comm.Connection = conn; //为每一条数据添加一个参�? comm.CommandText = "select COUNT(*) from Users where Password = @Password and UserName = @UserName"; comm.Parameters.AddRange( new SqlParameter[]{ new SqlParameter("@Password", SqlDbType.VarChar) { Value = password}, new SqlParameter("@UserName", SqlDbType.VarChar) { Value = userName}, }); comm.ExecuteNonQuery(); } } }

实际执行的SQL 如下所�C�：(x��)

exec sp_executesql N'select COUNT(*) from Users where Password = @Password and UserName = @UserName',N'@Password varchar(1),@UserName varchar(1)',@Password='a',@UserName='b'

exec sp_executesql N'select COUNT(*) from Users where Password = @Password and UserName = @UserName',N'@Password varchar(1),@UserName varchar(11)',@Password='a',@UserName='b'' or 1=1—'

可以看到参数化查询主要做了这些事情：(x��)

1�Q?strong>参数�q��o(h��)�Q�可以看�?@UserName='b'' or 1=1—'

2�Q?strong>执行计划重用

因�ؓ(f��)执行计划被重用，所以可以防止SQL注入�?/strong>

首先分析SQL注入的本质，

用户写了一�D�SQL 用来表示查找密码是a的，用户名是b的所有用��L(f��ng)��数量�?/span>

通过注入SQL�Q�这�D�SQL现在表示的含义是查找(密码是a的，�q�且用户名是b的，) 或�?=1 的所有用��L(f��ng)��数量�?/span>

可以看到SQL的语意发生了改变�Q��ؓ(f��)什么发生了改变呢？�Q�因为没有重用以前的执行计划�Q�因为对注入后的SQL语句重新�q�行了编译，因�ؓ(f��)重新执行了语法解析。所以要保证SQL语义不变�Q�即我想要表达SQL��是我想表达的意思，不是别的注入后的意思，��应该重用执行计划�?/strong>

如果不能够重用执行计划，那么��有SQL注入的风险，因�ؓ(f��)SQL的语意有可能�?x��)变化，所表达的查询就可能变化�?/strong>

在SQL Server 中查询执行计划可以��用下面的脚本�Q?/span>

DBCC FreeProccache select total_elapsed_time / execution_count �q�_��旉��,total_logical_reads/execution_count 逻辑�? usecounts 重用�ơ数,SUBSTRING(d.text, (statement_start_offset/2) + 1, ((CASE statement_end_offset WHEN -1 THEN DATALENGTH(text) ELSE statement_end_offset END - statement_start_offset)/2) + 1) 语句执行 from sys.dm_exec_cached_plans a cross apply sys.dm_exec_query_plan(a.plan_handle) c ,sys.dm_exec_query_stats b cross apply sys.dm_exec_sql_text(b.sql_handle) d --where a.plan_handle=b.plan_handle and total_logical_reads/execution_count>4000 ORDER BY total_elapsed_time / execution_count DESC;

博客园有��文章：(x��) Sql Server参数化查询之where in和like实现详解

在这��文章中有这么一�D�：(x��)

�q�里作者有一句话�Q?#8221;不过�q�种写法和直接拼SQL执行没啥实质性的区别”

��M��拼接SQL的方式都有SQL注入的风险，所以如果没有实质性的区别的话�Q�那么��用exec 动态执行SQL是不能防止SQL注入的�?/p>

比如下面的代码：(x��)

private static void TestMethod() { using (SqlConnection conn = new SqlConnection(connectionString)) { conn.Open(); SqlCommand comm = new SqlCommand(); comm.Connection = conn; //使用exec动态执行SQL　 //实际执行的查询计划�ؓ(f��)(@UserID varchar(max))select * from Users(nolock) where UserID in (1,2,3,4)　　 //不是预期�?@UserID varchar(max))exec('select * from Users(nolock) where UserID in ('+@UserID+')') comm.CommandText = "exec('select * from Users(nolock) where UserID in ('+@UserID+')')"; comm.Parameters.Add(new SqlParameter("@UserID", SqlDbType.VarChar, -1) { Value = "1,2,3,4" }); //comm.Parameters.Add(new SqlParameter("@UserID", SqlDbType.VarChar, -1) { Value = "1,2,3,4); delete from Users;--" }); comm.ExecuteNonQuery(); } }

执行的SQL 如下�Q?/p>
exec sp_executesql N'exec(''select * from Users(nolock) where UserID in (''+@UserID+'')'')',N'@UserID varchar(max) ',@UserID='1,2,3,4'

可以看到SQL语句�q�没有参数化查询�?/pre>

如果你将UserID讄��?#8221;

1,2,3,4); delete from Users;—-

”,那么执行的SQL��是下面�q�样�Q?/pre>
exec sp_executesql N'exec(''select * from Users(nolock) where UserID in (''+@UserID+'')'')',N'@UserID varchar(max) ',@UserID='1,2,3,4); delete from Users;--'

不要以�ؓ(f��)加了个@UserID ��׃��表能够防止SQL注入�Q�实际执行的SQL 如下�Q?/p>

��M��动态的执行SQL 都有注入的风险，因�ؓ(f��)动态意味着不重用执行计划，而如果不重用执行计划的话�Q�那么就基本上无法保证你写的SQL所表示的意思就是你要表辄��意思�?/pre>

�q�就好像��时候的填空题，查找密码�?____) �q�且用户名是(____)的用戗��?/pre>
不管你填的是什么��|��我所表达的就是这个意思�?/pre>

最后再�ȝ��一句：(x��)因�ؓ(f��)参数化查询可以重用执行计划，�q�且如果重用执行计划的话�Q�SQL所要表辄��语义��׃��?x��)变化，所以就可以防止SQL注入,如果不能重用执行计划�Q�就有可能出现SQL注入�Q?br />存储�q�程也是一��L(f��ng)��道理�Q�因为可以重用执行计划�?/pre>

原文��Q?div>http://www.cnblogs.com/LoveJenny/archive/2013/01/15/2860553.html

��胡�?/a> 2013-01-16 22:09 发表评论

一区二区三区精品,亚洲国产精品久久久久婷婷老年,国产精品久久久久久久龚玥菲

【�{】参数化查询��Z��么能够防止SQL注入