預防查詢語句數據庫注入漏洞攻擊

簡單地說，Sql注入就是將Sql代碼傳遞到應用程序的過程，但不是按照應用程序開發人員預定或期望的方式插入，相當大一部分程序員在編寫代碼的時 候，並沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。這種漏洞並非系統照成，而是由程序員在編程中忽略了安全因素。Sql注入漏洞攻擊原 理就是利用非法參數獲得敏感信息，收集整理，分析出管理員賬號密碼。

當開發應用程序時，尤其是有關數據庫信息的查詢，查詢語句中可能會有拼接字符串注入漏洞，這便會導致用戶資料洩露。那麼該如何防范此類漏洞的出現。

可以為查詢語句設置參數，方法實例如下面所示：

Using(Sqlconnection cn = new sqlconnection(“連接字符串”))

{

cn.open();

using(sqlcommand cmd = cn.creatcommand())

{

cmd.commandtext=”select * from T_table where name=’”+textbox.text+”’”;

(此時如果在文本框中輸入1’ or ‘1’=’1)就可以獲取數據庫信息。會造成信息的洩露。解決辦法就是引入參數。方法如下。

cmd.commandtext=”select * from T_table where name=@Name”;

cmd.Parameters.Add (new sqlParameter ("@Name", textbox.text))};

這樣查詢數據就會從數據庫查詢比對，不會再出現注入漏洞攻擊的情況。

}

}

每一次必不可少的會寫對數據庫操作的Sql語句，例如以下驗證登陸的Sql語句：

string strSql="select * from Table Where UserName='"+textBoxUserName.Text+'"and UserPassord='"+textBoxPassword.Text+"'";
或者
string strSql=string.Format("select * from Table where UserName='{0}' and UserPassword='{1}'",textBoxUserName.Text,textBoxPassword.Text);
在上面的語 句中，對數據庫操作的Sql語句使用字符串拼接的方式寫的，這種方式是前期的程序員以及初學者通用的對數據庫操作的一種Sql語句寫法，上述代碼中的 textBoxUserName是用戶在textBoxUserName文本框中提交的用戶名，textUserpassword是用戶在 textUserpassword文本框中提交的密碼，在理想的狀態下，用戶 為了對系統進行攻擊，用戶（就是黑客）可能嘗試篡改Sql語句，達到登錄的目的。例如用戶可能在用戶名文本框中輸入下面的語句：
1' or 1=1 --

下面我們把上面一行的語句代入到前面用於登錄的Sql語句中，得到下面的Sql語句：
select * from Table where UserId='1' or 1=1 --'and UserName=' '
稍 微學過數據庫Sql語句的，很快就會發現上面一句話的不正常，這條Sql語句會返回Table表的全部數據，這就是黑客有機可乘的地方，黑客可以用這種方 法成功登陸，還可以獲取該Table表的所有信息。下面解釋一下這句Sql語句：如果只有select * from Table，就會返回該Table表的所有信息，where後是查詢條件，1=1永遠為True，不管User='1'為True還是為 False，UserId='1' or 1=1 都為True。至於--'and UserName=' ' ，因為兩個連字符（--）是MS Sql Server的注釋標記（My Sql和Oracle數據庫也使用相同的技術，不過My Sql使用的注釋標記師是符號#，Oracle使用的是分號;），--後面的內容傳到數據庫查詢時都被注釋了，那麼--後面的內容就沒用了，Sql語句不 會執行了，所以where後的查詢條件永遠為True，綜上所述，上面的Sql查詢語句會返回Table表的所有信息！

通過這種Sql語法漏洞，黑客們可以達到他們的目的，但Sql注入漏洞攻擊絕對不止這一種，復雜的還有很多，我不在說了。下面我談一下我知道在.NET中應對上面這種Sql注入攻擊的防范措施。
我 們所能做的，如果不修改上面的Sql查詢語句，那一種方法就是利用TextBox控件的MaxLength屬性，這樣就鍵入了黑客鍵入字符的數量，從而可 以限制黑客向服務器發送大量的非法命令，但這種方法只是掩耳盜鈴，治不了根本。第二種方法就是刪除用戶輸入中的單引號，方法是在單引號後面加一個或多個單 引號，或者利用空格替換單引號，這樣就可以預防此類攻擊。但局限性是如果用戶的用戶名或密碼中就含有單引號呢，那就不可行了！

最完美的一種方法就是使用ADO.NET Command對象的參數集合， 在前面的可以進行Sql注入漏洞攻擊的Sql語句中，通過使用字符串拼接方法動態創建查詢，在這裡我們可以利用ADO.NET Command的對象的Parameters屬性提供的功能，傳遞執行Sql語句所使用的參數，在這種方法中參數名必須以字符@為前綴，例如以下Sql查 詢語句：
string strSql="select * from Table where UserName=@UserName and UserPassword=@UserPassword";
在該語句中，@UserName和@UserPassword就是參數名，可以使用以下語句為該參數傳值：
SqlCommand cmd=new SqlCommand(strSql,conn);
SqlParameters[] pams=new SqlParameters(new SqlParameters("@UserName",textBoxUserName.Text),new SqlParameters("@UserPassword",textBoxPassword.Text));
cmd.Parameters.AddRange(pams);
參數名不區分大小寫，這種方法也適宜存儲過程和SqlDataAdapter對象。

我們在動態創建Sql語句中使用了@UserName和@UserPassword名稱，而不是拼接多個字符 串，這樣就可以使用SqlCommand對象的Parameters集合傳遞值，該方法可以安全的創建動態Sql連接。參數在Sql Server內部不是簡單的字符串替換，Sql Server直接0用添加的值進行數據比較，因此不會有Sql注入漏洞攻擊。