<dfn id="w48us"></dfn><ul id="w48us"></ul>
  • <ul id="w48us"></ul>
  • <del id="w48us"></del>
    <ul id="w48us"></ul>
  • ASP.NET如何防止SQL注入

    時間:2020-11-26 14:33:40 筆試題目 我要投稿

    ASP.NET如何防止SQL注入

      一、什么是SQL注入式攻擊?

      所謂SQL注入式攻擊,就是攻擊者把SQL命令插入到Web表單的輸入域或頁面請求的查詢字符串,欺騙服務器執行惡意的SQL命令。在某些表單中,用戶輸入的內容直接用來構造(或者影響)動態SQL命令,或作為存儲過程的輸入參數,這類表單特別容易受到SQL注入式攻擊。常見的SQL注入式攻擊過程類如:

      ⑴ 某個ASP.NET Web應用有一個登錄頁面,這個登錄頁面控制著用戶是否有權訪問應用,它要求用戶輸入一個名稱和密碼。

      ⑵ 登錄頁面中輸入的內容將直接用來構造動態的SQL命令,或者直接用作存儲過程的參數。下面是ASP.NET應用構造查詢的一個例子:

      System.Text.StringBuilder query = new System.Text.StringBuilder(”select * from Users where login = ’”)。Append(txtLogin.Text)。Append(”’ AND password=’”)。Append(txtPassword.Text)。Append(”’”);

      ⑶ 攻擊者在用戶名字和密碼輸入框中輸入”’或’1’=’1″之類的內容。

      ⑷ 用戶輸入的內容提交給服務器之后,服務器運行上面的ASP.NET代碼構造出查詢用戶的SQL命令,但由于攻擊者輸入的內容非常特殊,所以最后得到的 SQL命令變成:select * from Users where login = ’’ or ’1’=’1’ AND password = ’’ or ’1’=’1’.

      ⑸ 服務器執行查詢或存儲過程,將用戶輸入的身份信息和服務器中保存的身份信息進行對比。

      ⑹ 由于SQL命令實際上已被注入式攻擊修改,已經不能真正驗證用戶身份,所以系統會錯誤地授權給攻擊者。

      如果攻擊者知道應用會將表單中輸入的內容直接用于驗證身份的查詢,他就會嘗試輸入某些特殊的SQL字符串篡改查詢改變其原來的功能,欺騙系統授予訪問權限。

      系統環境不同,攻擊者可能造成的損害也不同,這主要由應用訪問數據庫的安全權限決定。如果用戶的帳戶具有管理員或其他比較高級的權限,攻擊者就可能對數據庫的表執行各種他想要做的操作,包括添加、刪除或更新數據,甚至可能直接刪除表。

      二、如何防范?

      好在要防止ASP.NET應用被SQL注入式攻擊闖入并不是一件特別困難的事情,只要在利用表單輸入的內容構造SQL命令之前,把所有輸入內容過濾一番就可以了。過濾輸入內容可以按多種方式進行。

      ⑴ 對于動態構造SQL查詢的場合,可以使用下面的技術:

      第一:替換單引號,即把所有單獨出現的單引號改成兩個單引號,防止攻擊者修改SQL命令的含義。再來看前面的例子,”select * from Users where login = ’’’ or ’’1’’=’’1’ AND password = ’’’ or ’’1’’=’’1’”顯然會得到與”select * from Users where login = ’’ or ’1’=’1’ AND password = ’’ or ’1’=’1’”不同的結果。

      第二:刪除用戶輸入內容中的所有連字符,防止攻擊者構造出類如”select * from Users where login = ’mas’ —— AND password =’’”之類的查詢,因為這類查詢的后半部分已經被注釋掉,不再有效,攻擊者只要知道一個合法的用戶登錄名稱,根本不需要知道用戶的.密碼就可以順利獲得訪問權限。

      第三:對于用來執行查詢的數據庫帳戶,限制其權限。用不同的用戶帳戶執行查詢、插入、更新、刪除操作。由于隔離了不同帳戶可執行的操作,因而也就防止了原本用于執行select命令的地方卻被用于執行insert、update或delete命令。

      ⑵ 用存儲過程來執行所有的查詢。SQL參數的傳遞方式將防止攻擊者利用單引號和連字符實施攻擊。此外,它還使得數據庫權限可以限制到只允許特定的存儲過程執行,所有的用戶輸入必須遵從被調用的存儲過程的安全上下文,這樣就很難再發生注入式攻擊了。

      ⑶ 限制表單或查詢字符串輸入的長度。如果用戶的登錄名字最多只有10個字符,那么不要認可表單中輸入的10個以上的字符,這將大大增加攻擊者在SQL命令中插入有害代碼的難度。

      ⑷ 檢查用戶輸入的合法性,確信輸入的內容只包含合法的數據。數據檢查應當在客戶端和服務器端都執行——之所以要執行服務器端驗證,是為了彌補客戶端驗證機制脆弱的安全性。

      在客戶端,攻擊者完全有可能獲得網頁的源代碼,修改驗證合法性的腳本(或者直接刪除腳本),然后將非法內容通過修改后的表單提交給服務器。因此,要保證驗證操作確實已經執行,唯一的辦法就是在服務器端也執行驗證。你可以使用許多內建的驗證對象,例如 RegularExpressionValidator,它們能夠自動生成驗證用的客戶端腳本,當然你也可以插入服務器端的方法調用。如果找不到現成的驗證對象,你可以通過CustomValidator自己創建一個。

      ⑸ 將用戶登錄名稱、密碼等數據加密保存。加密用戶輸入的數據,然后再將它與數據庫中保存的數據比較,這相當于對用戶輸入的數據進行了”消毒”處理,用戶輸入的數據不再對數據庫有任何特殊的意義,從而也就防止了攻擊者注入SQL命令。 System.Web.Security.FormsAuthentication類有一個 HashPasswordForStoringInConfigFile,非常適合于對輸入數據進行消毒處理。

      ⑹ 檢查提取數據的查詢所返回的記錄數量。如果程序只要求返回一個記錄,但實際返回的記錄卻超過一行,那就當作出錯處理。

    【ASP.NET如何防止SQL注入】相關文章:

    PHP如何防止SQL注入01-03

    PHP防止SQL注入的例子09-18

    PHP中該怎樣防止SQL注入11-10

    關于SQL注入攻擊與防范11-08

    SQL注入攻擊的種類有哪些11-30

    PHP阻止SQL注入式攻擊的方法11-14

    ASP的SQL防注入過濾涵數11-13

    ASP.NET連SQL7接口的源代碼11-11

    如何防止簡歷誤區08-20

    主站蜘蛛池模板: 亚洲精品无码久久久久久| 精品久久一区二区三区| 国产精品国色综合久久 | 国产精品自在欧美一区| 国产精品亚洲A∨天堂不卡| 免费精品精品国产欧美在线欧美高清免费一级在线 | 国产成人精品一区二三区在线观看| 精品偷自拍另类在线观看| 麻豆国内精品欧美在线| 中文字幕亚洲综合精品一区| 国产精品美女久久久m| 亚洲精品国产美女久久久| 精品国产免费人成网站| 中文精品久久久久国产网址 | 亚洲精品中文字幕乱码三区| 国产亚洲精品激情都市| 亚洲国产精品国自产电影| 97视频在线观看这里只有精品 | 国产亚洲精品a在线观看| 久久亚洲精品视频| 岛国精品一区免费视频在线观看| 亚洲精品国产精品乱码不99| 拍国产真实乱人偷精品| 精品欧美一区二区在线观看| 国产精品热久久毛片| 91亚洲国产成人久久精品| 免费精品99久久国产综合精品| 91精品欧美综合在线观看| 538国产精品一区二区在线| 国产精品丝袜黑色高跟鞋| 精品一区二区三区在线成人| 久久精品国产亚洲AV电影| 日韩人妻精品一区二区三区视频 | 午夜影视日本亚洲欧洲精品一区| 国自产偷精品不卡在线| 久久久久人妻精品一区| 久久精品毛片免费观看| 国产精品午睡沙发系列| 99精品国产丝袜在线拍国语| 99久久99久久精品免费看蜜桃| 99视频在线观看精品|