Sql Injection - 以下是否容易受到攻击？

Question

我最近开始在一家对 SQL 注入攻击持开放态度的公司工作。因为他们几乎没有输入卫生设施。

在指出问题后，我的任务是修复它。

通常这很容易，用 SQLParamater 对象替换裸变量。 然而，我发现了一些让我感到疑惑的稍微奇怪的代码用法。

似乎我的前任一直在使用存储过程和一些驻留在代码中的 SQL。然而在一个地方，他似乎将两者结合起来。

他正在使用一些裸变量动态构建 SQL，然后将生成的 SQL 作为参数传递给存储过程。

我想知道它的安全性，是否将实际 SQL 作为参数传递来对其进行清理，或者我是否必须重新设计存储过程？

这是他正在做的一个（大大简化的）sn-p：

DataSet ExecuteQuery(string unsanitizedInput)
{
    string dynamicSQL = "WHERE column = " + unsanitizedInput;
    MySqlParameter param = new MySqlParameter("param1", dynamicSQL);
    string procname = "StoredProc_Name";
    DataSet ds = new DataSet();

    using (MySql.Data.MySqlClient.MySqlDataAdapter adapter = new MySql.Data.MySqlClient.MySqlDataAdapter(procname, DataUtils.ConnectionStrings["string"]))
    {
        adapter.SelectCommand.CommandType = CommandType.StoredProcedure;
        adapter.SelectCommand.Parameters.Add(param);
        adapter.Fill(ds);
    }
    return(ds);
}

显然，实际查询要复杂得多，参数很多。但这应该让您了解他在做什么。

我的问题是：上述安全吗？ 即使是要注入存储过程的更大 SQL 语句的一部分，未清理的输入是否也会被清理？

我知道上面的做法很糟糕，并且几乎不可能弄清楚 SQL 查询，但这就是我现在所处的位置。

所有建议均已采纳，并在此先感谢。

Answer 1

带参数的查询不提供针对 slq 注入攻击的全面保护，也不提供存储过程。两者我都用过，但在 2010 年被站点的 db 严重伤害了 two-step sql injection。

MSDN 强烈建议检查任何输入文本中的可疑元素。查看更多How To: Protect From SQL Injection in ASP.NET。

我使用以下简单代码来检测 sql 注入（使用一些我已经记不起的好资源构建）：

public static bool DetectSqlInjection(string Text)
{
    string CleanText = Text.ToUpper().Replace("/**/", " ").Replace("+", " ").Replace("  ", " ");

    string[] InjectionPatterns = { 
                                     "VARCHAR", 
                                     "EXEC", 
                                     "DECLARE", 
                                     "SELECT *", 
                                     "SELECT PASSWORD", 
                                     "SELECT USERNAME", 
                                     "$_GET",
                                     "NULL OR",
                                     "UNION ALL SELECT",
                                     "WAITFOR DELAY",
                                     "SELECT pg_sleep",
                                     "SHOW TABLES FROM"
                                     };

    foreach (string Pattern in InjectionPatterns)
    {
        if (CleanText.Contains(Pattern))
            return true;
    }

    return false;
}