SQL注入，最简单的解决方案

Question

如果我只是用双引号替换所有传入的单引号，我不确定有人会如何破坏我的 SQL。有人可以为我提供 Oracle 和 SQL Server 示例吗？谢谢。

string sql1 = "select * from users where user_id = '" + "O'Reily".Replace("'", "''").Replace("\", "") + "'";

==> "select * from users where user_id = 'O''Reily'

string sql2 = "select * from users where user_id = '" + "O'''Reily".Replace("'", "''").Replace("\", "") + "'";

==> "select * from users where user_id = 'O''''''Reily"

更新：斜杠“\”是应用程序中的受限字符，在查询中使用之前将被删除。双破折号可以很容易地添加到这个受限字符列表中。

Answer 1

您提出的解决方案容易受到包含\' 字符串的影响，这将结束您引用的部分并允许注入其他命令。

您希望尽可能使用 SQL 准备语句，这应该无处不在。基本上，你用特定的占位符为你的数据编写你的 sql，然后通过一个单独的、非解释的通道将这些数据传递给 sql server。

几个链接：

http://dev.mysql.com/tech-resources/articles/4.1/prepared-statements.html

http://java.sun.com/docs/books/tutorial/jdbc/basics/prepared.html

http://mattbango.com/notebook/web-development/prepared-statements-in-php-and-mysqli/

Answer 2

参数化你的变量。严重地。所有现代环境都有这样做的设施，您不必担心像 \' 这样的转义序列，它会在您的方案（在 Oracle 中）变成 \'' ，它成为转义引号和常规（终止）引号。

还有很多其他技巧可以解决这个问题，我没有一一列举，因为它们没有帮助。

再次：参数化你的变量。严重地。如果您不学习如何使用参数化，您将成为另一个被黑的统计数据。

编辑：阅读保罗回答中的链接，这是另一个：http://unixwiz.net/techtips/sql-injection.html

无论你认为你的字符串卫生有多聪明，你都做错了。 特别是如果您必须处理多个后端。

用字符串编写查询是我会直接解雇员工的少数几件事之一……这样的程序员给公司带来的风险比他们带来的任何其他事情都要大（尤其是在我们做出很明显，我们不会在第一天就接受这样的代码，并提供一个实体框架，让这些事情变得不必要）。

Answer 3

为了防止 SQL 注入，您真正应该做的是使用绑定的位置或命名参数，而不是将 SQL 构造为内联用户输入的字符串。这如何完成取决于您的应用程序如何访问数据库。例如，下面是使用 JDBC 在 Java 中的样子：

不好：

String updateString = "UPDATE COFFEES SET SALES = 75 " + 
                      "WHERE COF_NAME LIKE 'Colombian'";
stmt.executeUpdate(updateString);

好：

PreparedStatement updateSales = con.prepareStatement(
        "UPDATE COFFEES SET SALES = ? WHERE COF_NAME LIKE ? ");
updateSales.setInt(1, 75); 
updateSales.setString(2, "Colombian"); 
updateSales.executeUpdate():

我从这里借用了这个例子： http://java.sun.com/docs/books/tutorial/jdbc/basics/prepared.html

Answer 4

有一些涉及攻击者利用应用程序截断输入的技巧：

http://www.rampant-books.com/t_super_sql_154_ideas_prevent_injection.htm