经典 ASP SQL 注入保护

Question

对于经典的 ASP 应用程序来说，防止 sql 注入的有效方法是什么？

仅供参考，我将它与访问数据库一起使用。 （我没有写这个应用程序）

Answer 1

以下是我很久以前制作的几个 sqlinject 脚本，一个简单版本和一个扩展版本：

function SQLInject(strWords) 
dim badChars, newChars, i
badChars = array("select", "drop", ";", "--", "insert", "delete", "xp_") 
newChars = strWords 
for i = 0 to uBound(badChars) 
newChars = replace(newChars, badChars(i), "") 
next 
newChars = newChars 
newChars= replace(newChars, "'", "''")
newChars= replace(newChars, " ", "")
newChars= replace(newChars, "'", "|")
newChars= replace(newChars, "|", "''")
newChars= replace(newChars, "\""", "|")
newChars= replace(newChars, "|", "''")
SQLInject=newChars
end function 


function SQLInject2(strWords)
dim badChars, newChars, tmpChars, regEx, i
badChars = array( _
"select(.*)(from|with|by){1}", "insert(.*)(into|values){1}", "update(.*)set", "delete(.*)(from|with){1}", _
"drop(.*)(from|aggre|role|assem|key|cert|cont|credential|data|endpoint|event|f ulltext|function|index|login|type|schema|procedure|que|remote|role|route|sign| stat|syno|table|trigger|user|view|xml){1}", _
"alter(.*)(application|assem|key|author|cert|credential|data|endpoint|fulltext |function|index|login|type|schema|procedure|que|remote|role|route|serv|table|u ser|view|xml){1}", _
"xp_", "sp_", "restore\s", "grant\s", "revoke\s", _
"dbcc", "dump", "use\s", "set\s", "truncate\s", "backup\s", _
"load\s", "save\s", "shutdown", "cast(.*)\(", "convert(.*)\(", "execute\s", _
"updatetext", "writetext", "reconfigure", _
"/\*", "\*/", ";", "\-\-", "\[", "\]", "char(.*)\(", "nchar(.*)\(") 
newChars = strWords
for i = 0 to uBound(badChars)
Set regEx = New RegExp
regEx.Pattern = badChars(i)
regEx.IgnoreCase = True
regEx.Global = True
newChars = regEx.Replace(newChars, "")
Set regEx = nothing
next
newChars = replace(newChars, "'", "''")
SqlInject2 = newChars
end function

Answer 2

使用参数化查询，您需要创建一个命令对象，为其分配参数名称和值，如果这样做，您就不需要担心其他任何事情（当然指的是sql注入；））

http://prepared-statement.blogspot.com/2006/02/asp- prepared-statements.html

并且不要信任存储过程，如果您不使用准备好的语句，它们也可能成为攻击媒介。

Answer 3

“保护经典 ASP 应用程序免受 sql 注入的一个强有力的方法”是无情地验证所有输入。 时期。

单独的存储过程和/或不同的数据库系统并不一定等于良好的安全性。

MS 最近推出了一个 SQL 注入检查工具，可以查找查询中使用的未经验证的输入。 这就是你应该寻找的。

这是链接：
用于 SQL 注入工具的 Microsoft 源代码分析器可用于查找 ASP 代码中的 SQL 注入漏洞

Answer 4

如果存储过程不是一个选项 - 即使它们是 - 彻底验证所有输入

Answer 5

嘿，任何数据库都和使用它的开发人员一样好。

不多不少。

如果您是优秀的开发人员，您可以使用文本文件作为数据库来构建电子商务网站。
是的，它不会像 Oracle 驱动的网站那么好，但对于像家庭定制珠宝制造这样的小型企业来说，它会做得很好。

如果您是优秀的开发人员，您将不会在 ASP 页面上使用内联 SQL 语句。
即使在 Access 中，您也可以选择构建和使用查询。

通过数据验证存储过程以及 html 编码——是防止任何 SQL 注入攻击的最佳方法。

Answer 6

用于 SQL 注入工具的 Microsoft 源代码分析器 可用于查找 ASP 代码中的 SQL 注入漏洞

Answer 7

至少切换到 SQL Express 是一个不错的选择。 这将使事情变得更加安全。 尽管使用参数和存储过程可以有很大帮助。 我还建议您仔细验证输入，以确保它们符合您的期望。

对于像数字这样的值，提取数字以验证它确实只是一个数字是相当容易的。 对 SQL 转义所有特殊字符。 这样做将阻止尝试的攻击发生。

Answer 8

存储过程和/或准备好的语句：

https:// stackoverflow.com/questions/1973/what-is-the-best-way-to-avoid-sql-injection-attacks

我可以通过转义单引号并用单引号包围用户输入来防止 SQL 注入吗？

< a href="https://stackoverflow.com/questions/1284/捕捉-sql-injection-and-other-malicious-web-requests">捕获 SQL 注入和其他恶意 Web 请求

使用 Access DB，您可以仍然可以做到这一点，但如果您已经担心 SQL 注入，我认为您无论如何都需要摆脱 Access。

以下是 Access 中该技术的链接：

http://www.asp101.com/samples/storedqueries .asp

请注意，通常防止注入的不是存储过程本身，而是它是参数化的而不是动态的这一事实。 请记住，即使构建动态代码的 SP 如果以某种方式使用参数来构建动态代码，也可能容易受到注入攻击。 总的来说，我更喜欢 SP，因为它们形成了应用程序访问数据库的接口层，因此应用程序甚至不允许首先执行任意代码。

此外，如果不使用命令和参数，存储过程的执行点可能容易受到攻击，例如，这仍然容易受到攻击，因为它是动态构建的并且可能成为注入目标：

Conn.Execute("EXEC usp_ImOnlySafeIfYouCallMeRight '" + param1 + "', '" + param2 + "'") ;

请记住，您的数据库需要保卫自己的边界，如果不同的登录名都有权在表中插入/更新/删除，那么这些应用程序（或受损的应用程序）中的任何代码都可能是潜在的问题。 如果登录名仅有权执行存储过程，则这会形成一个漏斗，通过它您可以更轻松地确保正确的行为。 （类似于 OO 概念，其中对象负责其接口并且不公开其所有内部工作原理。）