ASP.NET 实现SQL注入过滤

Posted 2023-04-02

参考技术A 一 什么是SQL注入式攻击         所谓SQL注入式攻击 就是攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串 欺骗服务器执行恶意的SQL命令 在某些表单中 用户输入的内容直接用来构造（或者影响）动态SQL命令 或作为存储过程的输入参数 这类表单特别容易受到SQL注入式攻击 常见的SQL注入式攻击过程类如         ⑴ 某个ASP NET Web应用有一个登录页面 这个登录页面控制着用户是否有权访问应用 它要求用户输入一个名称和密码         ⑵ 登录页面中输入的内容将直接用来构造动态的SQL命令 或者直接用作存储过程的参数 下面是ASP NET应用构造查询的一个例子         System Text StringBuilder        query = new System Text StringBuilder（        SELECT * from Users WHERE login = ）        Append（txtLogin Text）        Append（ AND password= ）        Append（txtPassword Text） Append（ ） ⑶ 攻击者在用户名字和密码输入框中输入 或 = 之类的内容         ⑷ 用户输入的内容提交给服务器之后 服务器运行上面的ASP NET代码构造出查询用户的SQL命令 但由于攻击者输入的内容非常特殊 所以最后得到的SQL命令变成         SELECT * from Users WHERE        login = or = AND        password = or =         ⑸ 服务器执行查询或存储过程 将用户输入的身份信息和服务器中保存的身份信息进行对比         ⑹ 由于SQL命令实际上已被注入式攻击修改 已经不能真正验证用户身份 所以系统会错误地授权给攻击者         如果攻击者知道应用会将表单中输入的内容直接用于验证身份的查询 他就会尝试输入某些特殊的SQL字符串篡改查询改变其原来的功能 欺骗系统授予访问权限         系统环境不同 攻击者可能造成的损害也不同 这主要由应用访问数据库的安全权限决定 如果用户的帐户具有管理员或其他比较高级的权限 攻击者就可能对数据库的表执行各种他想要做的操作 包括添加 删除或更新数据 甚至可能直接删除表     二 如何防范         好在要防止ASP NET应用被SQL注入式攻击闯入并不是一件特别困难的事情 只要在利用表单输入的内容构造SQL命令之前 把所有输入内容过滤一番就可以了 过滤输入内容可以按多种方式进行

        ⑴ 对于动态构造SQL查询的场合 可以使用下面的技术         第一 替换单引号 即把所有单独出现的单引号改成两个单引号 防止攻击者修改SQL命令的含义 再来看前面的例子 SELECT * from Users WHERE login = or = AND password = or = 显然会得到与 SELECT * from Users WHERE login = or = AND password = or = 不同的结果         第二 删除用户输入内容中的所有连字符 防止攻击者构造出类如 SELECT * from Users WHERE login = mas AND password = 之类的查询 因为这类查询的后半部分已经被注释掉 不再有效 攻击者只要知道一个合法的用户登录名称 根本不需要知道用户的密码就可以顺利获得访问权限         第三 对于用来执行查询的数据库帐户 限制其权限 用不同的用户帐户执行查询 插入 更新 删除操作 由于隔离了不同帐户可执行的操作 因而也就防止了原本用于执行SELECT命令的地方却被用于执行INSERT UPDATE或DELETE命令         ⑵ 用存储过程来执行所有的查询 SQL参数的传递方式将防止攻击者利用单引号和连字符实施攻击 此外 它还使得数据库权限可以限制到只允许特定的存储过程执行 所有的用户输入必须遵从被调用的存储过程的安全上下文 这样就很难再发生注入式攻击了         ⑶ 限制表单或查询字符串输入的长度 如果用户的登录名字最多只有 个字符 那么不要认可表单中输入的 个以上的字符 这将大大增加攻击者在SQL命令中插入有害代码的难度         ⑷ 检查用户输入的合法性 确信输入的内容只包含合法的数据 数据检查应当在客户端和服务器端都执行 之所以要执行服务器端验证 是为了弥补客户端验证机制脆弱的安全性         在客户端 攻击者完全有可能获得网页的源代码 修改验证合法性的脚本（或者直接删除脚本） 然后将非法内容通过修改后的表单提交给服务器 因此 要保证验证操作确实已经执行 唯一的办法就是在服务器端也执行验证         你可以使用许多内建的验证对象 例如RegularExpressionValidator 它们能够自动生成验证用的客户端脚本 当然你也可以插入服务器端的方法调用 如果找不到现成的验证对象 你可以通过CustomValidator自己创建一个         ⑸ 将用户登录名称 密码等数据加密保存 加密用户输入的数据 然后再将它与数据库中保存的数据比较 这相当于对用户输入的数据进行了 消毒 处理 用户输入的数据不再对数据库有任何特殊的意义 从而也就防止了攻击者注入SQL命令 System Web Security FormsAuthentication类有一个HashPasswordForStoringInConfigFile 非常适合于对输入数据进行消毒处理         ⑹ 检查提取数据的查询所返回的记录数量 如果程序只要求返回一个记录 但实际返回的记录却超过一行 那就当作出错处理    

    以上资料参考与 赛迪网资料   但是我觉得在我们的ASP NET程序里防止SQL 注入        首先应该尽量使用存储过程 关于使用存储过程的好处在这里就不展开讨论了        使用参数传递变量         最不妥当的方法就是认为判断SQL注入信息         尽管如此 可能日常开发中由于种种原因不能做的面面具道 存在各种各种的实际问题 现在是最近在一个项目中没有考虑SQL注入项目补救写的一个组件库 资料也参考来源与网络 实现很简单 下面是具体实现的源程序         using System;        using System Text RegularExpressions;        using System Web;        namespace FSqlKeyWord        …        /**//// <summary>        /// SqlKey 的摘要说明         /// </summary>        public class SqlKey        …        private HttpRequest request;        private const string StrKeyWord = @ select|insert|delete|from|count（|drop table|update|truncate|asc（|mid（|char（|xp_cmdshell|exec master|netlocalgroup administrators|:|net user| |or|and ;        private const string StrRegex = @ [ |;| |/|（|）|[|]|||%|@|*|!| ] ;        public SqlKey（System Web HttpRequest _request）        …        //        // TODO: 在此处添加构造函数逻辑        //        this request = _request;                /**//// <summary>        /// 只读属性 SQL关键字        /// </summary>        public static string KeyWord        …        get        …        return StrKeyWord;                        /**//// <summary>        /// 只读属性过滤特殊字符        /// </summary>        public static string RegexString        …        get        …        return StrRegex;                        /**//// <summary>        /// 检查URL参数中是否带有SQL注入可能关键字         /// </summary>        /// <param name= _request >当前HttpRequest对象</param>        /// <returns>存在SQL注入关键字true存在 false不存在</returns>        public bool CheckRequestQuery（）        …        if （request QueryString Count != ）        …        //若URL中参数存在 逐个比较参数         for （int i = ; i < request QueryString Count; i++）        …        // 检查参数值是否合法         if （CheckKeyWord（request QueryString[i] ToString（）））        …        return true;                                return false;                /**//// <summary>        /// 检查提交表单中是否存在SQL注入可能关键字        /// </summary>        /// <param name= _request >当前HttpRequest对象</param>        /// <returns>存在SQL注入关键字true存在 false不存在</returns>        public bool CheckRequestForm（）        …        if （request Form Count > ）        …        //获取提交的表单项不为 逐个比较参数        for （int i = ; i < request Form Count; i++）        …        //检查参数值是否合法        if （CheckKeyWord（request Form[i]））        …        //存在SQL关键字        return true;                                return false;                /**//// <summary>        /// 静态方法 检查_sword是否包涵SQL关键字        /// </summary>        /// <param name= _sWord >被检查的字符串</param>        /// <returns>存在SQL关键字返回true 不存在返回false</returns>        public static bool CheckKeyWord（string _sWord）        …        if （Regex IsMatch（_sWord StrKeyWord RegexOptions IgnoreCase） || Regex IsMatch（_sWord StrRegex））        return true;        return false;                /**//// <summary>        /// 反SQL注入 返回 无注入信息 否则返回错误处理        /// </summary>        /// <returns>返回 无注入信息 否则返回错误处理</returns>        public string CheckMessage（）        …        string msg = ;        if （CheckRequestQuery（）） //CheckRequestQuery（） || CheckRequestForm（）        …        msg = <span style= font size: px; >非法操作！<br> ;        msg += 操作IP: + request ServerVariables[ REMOTE_ADDR ] + <br> ;        msg += 操作时间 + DateTime Now + <br> ;        msg += 页面 + request ServerVariables[ URL ] ToLower（） + <br> ;        msg += <a # onclick= history back（） >返回上一页</a></span> ;                return msg ToString（）                         lishixinzhi/Article/program/net/201311/11680

ASP.NET MVC 5使用Filter过滤Action参数防止sql注入

在开发程序的过程中，稍微不注意就会隐含有sql注入的危险。今天我就来说下，ASP.NET mvc 5使用Filter过滤Action参数防止sql注入，让你代码安全简洁。不用每下地方对参数的值都进行检查，看是用户输入的内容是否有危险的sql。如果每个地方都要加有几个缺点：

1、工作量大

2、容易遗漏

3、不容易维护

下面我通过写一个过滤防止sql的特性类，对Action执行前对Action的参数进行处理，如果有其值有sql语句，就会这些非法字符替换为空字符串。

一、sql注入的例子：

上面的输入有两个输入框，用户可以输入任何的值，包括有sql注入的值。

后台代码：

AdminController.cs

public class AdminController : Controller
    
        public ActionResult Index(string name = "", string loginName = "", int page = 1)
        
            ViewBag.Name = name;
            ViewBag.LoginName = loginName;
            var r = DAdmin.GetList(name, loginName, page, 2);
            return View(r);
        
    

DAdmin.cs:

public class DAdmin

    public static PageDataView<MSys_Admin> GetList(string name, string loginName, int page,int pageSize=10)
    
        PageCriteria criteria = new PageCriteria();
        criteria.Condition = "1=1";
        if (!string.IsNullOrEmpty(name))
            criteria.Condition += string.Format(" and Name like ‘%0%‘", name);
        if (!string.IsNullOrEmpty(loginName))
            criteria.Condition += string.Format(" and LoginName like ‘%0%‘", loginName);
        criteria.CurrentPage = page;
        criteria.Fields = "*";
        criteria.PageSize = pageSize;
        criteria.TableName = "Sys_Admin a";
        criteria.PrimaryKey = "UID";
        var r = Common.GetPageData<MSys_Admin>(criteria);
        return r;
    

上面对用户输入的name和loginName两个参数没有判断是否有sql注入的非法字符，就直接拼接到sql语句，到数据库中执行，这样是非常危险的。

1、比如用户在name输入这样的内容：

%‘--%

这样拼接出来的sql语句就成了

SELECT * FROM Sys_Admin WHERE Name like ‘%‘--%‘

这样“--”是sql的注释标记后面再拼接的sql语句都当成注释了，这样有效的就成了这样的sql语句：

SELECT * FROM Sys_Admin WHERE Name like ‘%‘

这表示显示全部的记录。如果是登录的sql就会跳过用户名、密码的验证。 

2、如果用户name输入内容带有insert或delete或者drop，比如：

namer人值为：%‘;DELETE FROM Sys_Admin--%

拼接成的sql成了：

SELECT * FROM Sys_Admin WHERE Name like ‘%‘;DELETE FROM Sys_Admin--%‘

这样一执行就把Sys_Admin表的记录全部删除了。

总结：上面可以看到这种sql注入是多么的危险。

二、解决MVC sql注入方案

1、定义一个防止sql注入的字符串辅助类

    public static string FilterSql(string s)
    
        if (string.IsNullOrEmpty(s)) return string.Empty;
        s = s.Trim().ToLower();
        s = ClearScript(s);
        s = s.Replace("=", "");
        s = s.Replace("‘", "");
        s = s.Replace(";", "");
        s = s.Replace(" or ", "");
        s = s.Replace("select", "");
        s = s.Replace("update", "");
        s = s.Replace("insert", "");
        s = s.Replace("delete", "");
        s = s.Replace("declare", "");
        s = s.Replace("exec", "");
        s = s.Replace("drop", "");
        s = s.Replace("create", "");
        s = s.Replace("%", "");
        s = s.Replace("--", "");
        return s;
    

这个类对上面sql相关的字符串都替换掉。

2、定义一个用来检查并处理Action参数的特性类

public class AntiSqlInjectAttribute:FilterAttribute,IActionFilter

    public void OnActionExecuted(ActionExecutedContext filterContext)
    
        
    
 
    public void OnActionExecuting(ActionExecutingContext filterContext)
    
        var actionParameters = filterContext.ActionDescriptor.GetParameters();
        foreach (var p in actionParameters)
        
            if (p.ParameterType == typeof(string))
            
                if (filterContext.ActionParameters[p.ParameterName] != null)
                
                    filterContext.ActionParameters[p.ParameterName] = StringHelper.FilterSql(filterContext.ActionParameters[p.ParameterName].ToString());
                
            
        
    

说明：这个特性类是继承了类FilterAttribute和实现了接口IActionFilter，这里在方法OnActionExecuting处理Action的参数，OnActionExecuting是在Action执行之前运行的方法，而OnActionExecuted是在Action执行之后运行的方法。

p.ParameterType == typeof(string)

因为sql注入只有参数类型为字符串的时候才有可能所以这里只对Action参数为字符串的参数进行处理。

filterContext.ActionParameters[p.ParameterName] = 
StringHelper.FilterSql(filterContext.ActionParameters[p.ParameterName].ToString());
是用过滤之后的安全的Action参数值替换原来的原始值。

3、防止sql注入特性类的在MVC的Controller中的使用

public class AdminController : Controller

    [AntiSqlInject]
    public ActionResult Index(string name = "", string loginName = "", int page = 1)
    
        ViewBag.Name = name;
        ViewBag.LoginName = loginName;
        var r = DAdmin.GetList(name, loginName, page, 2);
        return View(r);
    

需要对Action的参数进行sql检查，只用在前面加上，上面定义的特性类AntiSqlInject。这个特性类可以用在任何的需要防止sql注入的Action上，根本不用对手动的去过滤程序中获取到的所有参数，安全、方便简洁