狠狠色丁香婷婷综合尤物/久久精品综合一区二区三区/中国有色金属学报/国产日韩欧美在线观看 - 国产一区二区三区四区五区tv

SQL Server 中的 Parameters 集合提供了類型檢查和長度驗證。如果使用 Parameters 集合，則輸入將被視為文字值而不是可執行代碼。使用 Parameters 集合的另一個好處是可以強制執行類型和長度檢查。范圍以外的值將觸發異常。以下代碼段顯示了如何使用 Parameters 集合：

復制代碼

SqlDataAdapter myCommand = new SqlDataAdapter("AuthorLogin", conn);

myCommand.SelectCommand.CommandType = CommandType.StoredProcedure;

SqlParameter parm = myCommand.SelectCommand.Parameters.Add("@au_id",

SqlDbType.VarChar, 11);

parm.Value = Login.Text;

在此示例中，@au_id 參數被視為文字值而不是可執行代碼。將對此值進行類型和長度檢查。如果 @au_id 值不符合指定的類型和長度約束，則將引發異常。

存儲過程如果使用未篩選的輸入，則可能容易受 SQL 注入攻擊。例如，以下代碼容易受到攻擊：

復制代碼

SqlDataAdapter myCommand =

new SqlDataAdapter("LoginStoredProcedure '" +

Login.Text + "'", conn);

如果使用存儲過程，則應使用參數作為存儲過程的輸入。

如果不能使用存儲過程，您仍可使用參數，如以下代碼示例所示：

復制代碼

SqlDataAdapter myCommand = new SqlDataAdapter(

"SELECT au_lname, au_fname FROM Authors WHERE au_id = @au_id", conn);

SQLParameter parm = myCommand.SelectCommand.Parameters.Add("@au_id",

SqlDbType.VarChar, 11);

Parm.Value = Login.Text;

篩選輸入可以刪除轉義符，這也可能有助于防止 SQL 注入。但由于可引起問題的字符數量很大，因此這并不是一種可靠的防護方法。以下示例可搜索字符串分隔符。

復制代碼

private string SafeSqlLiteral(string inputSQL)

{

return inputSQL.Replace("'", "''");

}

請注意，如果要使用 LIKE 子句，還必須對通配符字符進行轉義：

復制代碼

s = s.Replace("[", "[[]");

s = s.Replace("%", "[%]");

s = s.Replace("_", "[_]");

在選擇的每個存儲過程中，驗證是否對動態 Transact-SQL 中使用的所有變量都進行了正確處理。來自存儲過程的輸入參數的數據或從表中讀取的數據應包裝在 QUOTENAME() 或 REPLACE() 中。請記住，傳遞給 QUOTENAME() 的 @variable 值的數據類型為 sysname，且最大長度為 128 個字符。

使用此方法時，可對 SET 語句進行如下修改：

--Before:

SET @temp = N'select * from authors where au_lname='''

+ @au_lname + N''''

--After:

SET @temp = N'select * from authors where au_lname='''

+ REPLACE(@au_lname,'''','''''') + N''''

如果分配給變量的任何動態 Transact-SQL 比為該變量分配的緩沖區大，那么它將被截斷。如果攻擊者能夠通過將意外長度的字符串傳遞給存儲過程來強制執行語句截斷，則該攻擊者可以操作該結果。例如，以下腳本創建的存儲過程容易受到由截斷啟用的注入攻擊。

CREATE PROCEDURE sp_MySetPassword

@loginname sysname,

@old sysname,

@new sysname

AS

-- Declare variable.

-- Note that the buffer here is only 200 characters long.

DECLARE @command varchar(200)

-- Construct the dynamic Transact-SQL.

-- In the following statement, we need a total of 154 characters

-- to set the password of 'sa'.

-- 26 for UPDATE statement, 16 for WHERE clause, 4 for 'sa', and 2 for

-- quotation marks surrounded by QUOTENAME(@loginname):

-- 200 – 26 – 16 – 4 – 2 = 154.

-- But because @new is declared as a sysname, this variable can only hold

-- 128 characters.

-- We can overcome this by passing some single quotation marks in @new.

SET @command= 'update Users set password=' + QUOTENAME(@new, '''') + ' where username=' + QUOTENAME(@loginname, '''') + ' AND password = ' + QUOTENAME(@old, '''')

-- Execute the command.

EXEC (@command)

GO

通過向 128 個字符的緩沖區傳遞 154 個字符，攻擊者便可以在不知道舊密碼的情況下為 sa 設置新密碼。

EXEC sp_MySetPassword 'sa', 'dummy', '123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012'''''''''''''''''''''''''''''''''''''''''''''''''''

因此，應對命令變量使用較大的緩沖區，或直接在 EXECUTE 語句內執行動態 Transact-SQL。

如果 QUOTENAME() 和 REPLACE() 返回的字符串超過了分配的空間，該字符串將被自動截斷。以下示例中創建的存儲過程顯示了可能出現的情況。

CREATE PROCEDURE sp_MySetPassword

@loginname sysname,

@old sysname,

@new sysname

AS

-- Declare variables.

DECLARE @login sysname

DECLARE @newpassword sysname

DECLARE @oldpassword sysname

DECLARE @command varchar(2000)

-- In the following statements, the data stored in temp variables

-- will be truncated because the buffer size of @login, @oldpassword,

-- and @newpassword is only 128 characters, but QUOTENAME() can return

-- up to 258 characters.

SET @login = QUOTENAME(@loginname, '''')

SET @oldpassword = QUOTENAME(@old, '''')

SET @newpassword = QUOTENAME(@new, '''')

-- Construct the dynamic Transact-SQL.

-- If @new contains 128 characters, then @newpassword will be '123... n

-- where n is the 127th character.

-- Because the string returned by QUOTENAME() will be truncated,

-- it can be made to look like the following statement:

-- UPDATE Users SET password ='1234. . .[127] WHERE username=' -- other stuff here

SET @command = 'UPDATE Users set password = ' + @newpassword

+ ' where username =' + @login + ' AND password = ' + @oldpassword;

-- Execute the command.

EXEC (@command)

GO

因此，以下語句將把所有用戶的密碼都設置為在前面的代碼中傳遞的值。

EXEC sp_MyProc '--', 'dummy', '12345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012345678'

使用 REPLACE() 時，可以通過超出分配的緩沖區空間來強迫字符串截斷。以下示例中創建的存儲過程顯示了可能出現的情況。

CREATE PROCEDURE sp_MySetPassword

@loginname sysname,

@old sysname,

@new sysname

AS

-- Declare variables.

DECLARE @login sysname

DECLARE @newpassword sysname

DECLARE @oldpassword sysname

DECLARE @command varchar(2000)

-- In the following statements, data will be truncated because

-- the buffers allocated for @login, @oldpassword and @newpassword

-- can hold only 128 characters, but QUOTENAME() can return

-- up to 258 characters.

SET @login = REPLACE(@loginname, '''', '''''')

SET @oldpassword = REPLACE(@old, '''', '''''')

SET @newpassword = REPLACE(@new, '''', '''''')

-- Construct the dynamic Transact-SQL.

-- If @new contains 128 characters, @newpassword will be '123...n

-- where n is the 127th character.

-- Because the string returned by QUOTENAME() will be truncated, it

-- can be made to look like the following statement:

-- UPDATE Users SET password='1234…[127] WHERE username=' -- other stuff here

SET @command= 'update Users set password = ''' + @newpassword + ''' where username='''

+ @login + ''' AND password = ''' + @oldpassword + '''';

-- Execute the command.

EXEC (@command)

GO

與 QUOTENAME() 一樣，可以通過聲明對所有情況都足夠大的臨時變量來避免由 REPLACE() 引起的字符串截斷。應盡可能直接在動態 Transact-SQL 內調用 QUOTENAME() 或 REPLACE()。或者，也可以按如下方式計算所需的緩沖區大小。對于 @outbuffer = QUOTENAME(@input)，@outbuffer 的大小應為 2*(len(@input)+1). 。使用 REPLACE() 和雙引號時（如上一示例），大小為 2*len(@input) 的緩沖區便已足夠。

以下計算涵蓋所有情況：

While len(@find_string) > 0, required buffer size =

round(len(@input)/len(@find_string),0) * len(@new_string)

+ (len(@input) % len(@find_string))

當 SQL Server 安全對象的名稱被傳遞給使用 QUOTENAME(@variable, ']') 形式的語句時，可能發生截斷。以下代碼顯示了這一可能性。

CREATE PROCEDURE sp_MyProc

@schemaname sysname,

@tablename sysname,

AS

-- Declare a variable as sysname. The variable will be 128 characters.

-- But @objectname actually must accommodate 2*258+1 characters.

DECLARE @objectname sysname

SET @objectname = QUOTENAME(@schemaname)+'.'+ QUOTENAME(@tablename)

-- Do some operations.

GO

當您串聯 sysname 類型的值時，應使用足夠大的臨時變量來保存每個值的最多 128 個字符。應盡可能直接在動態 Transact-SQL 內調用 QUOTENAME()。或者，也可以按上一部分所述來計算所需的緩沖區大小。