SQL Server：清理@param以防止注入攻击

Question

为了便于讨论，我们假设我必须创建一个包含具有 INSERT 的 SQL 查询的局部变量：

 DECLARE @insert NVARCHAR(MAX)
 SELECT @insert = 'INSERT INTO [dbo].[' + @table + '] VALUES...
 EXEC (@insert) 

此 INSERT 还将包含一个列值：

 DECLARE @insert NVARCHAR(MAX)
 SELECT @insert = 
  'INSERT INTO [dbo].[' + @table + '] VALUES (N''' + @message + ''')'
 EXEC (@insert) 

现在，我显然很担心关于注入攻击，并希望确保 @message 的值不会使 @insert 的值成为恶意或格式错误的 EXEC 查询。

这给我们带来了我的问题：转义 @message 中的 ' 字符就足够了吗？ @message 中是否还有其他可能出现的字符可以逃逸？

示例：（

 DECLARE @insert NVARCHAR(MAX)
 SELECT @message = REPLACE(@message,'''','''''')
 SELECT @insert = 
  'INSERT INTO [dbo].[' + @table + '] VALUES (N''' + @message + ''')'
 EXEC (@insert)  

当我说“必须”时，这是因为我的查询位于存储过程中，并且该存储过程接受 @table，这是要 INSERT 到的目标表。我不是有兴趣讨论我的体系结构或为什么要插入的表是通过过程参数“动态”指定的，请不要对此发表评论，除非除了 EXEC() 查询之外还有其他方法来指定要插入的表。然后表名作为过程参数被接收。）

Answer 1

使用 sp_executesql 和内置 quotename()。 这篇文章动态 SQL 的诅咒与祝福几乎是权威的参考资料。

Answer 2

您可以先使用常规 T-SQL 查询架构信息，并确保表名首先存在。 这样，如果它是格式错误的 SQL，它就不会作为代码执行。 它只是一个 VARCHAR 表名。

DECLARE @Table AS VARCHAR(MAX)
DECLARE @Exists AS BIT

SET @Table = 'Vicious malformed dynamic SQL'

SELECT  @Exists = COUNT(TABLE_NAME) 
FROM    INFORMATION_SCHEMA.TABLES 
WHERE   TABLE_NAME = @Table

IF (@Exists = 1)
    BEGIN
    PRINT 'Table exists'
    -- Execute dynamic SQL.
    END
ELSE
    PRINT 'Invalid table'

（或者简单地使用 IF EXISTS (SELECT ....) ）

Answer 3

我建议使用 sp_executesql 存储过程。 具体来说，这允许您传递参数，系统将检查参数是否有效。

Answer 4

显然，根据我的测试，即使在 2008 年，quotename() 也有 128 长度的限制，因为它需要一个 SQL 标识符。 该参考建议创建一个 quotestring() 函数，它的作用与：

REPLACE(@variable,'''','''''')

因此，我建议答案是从上面的 REPLACE() 创建一个函数，如下所示：

CREATE FUNCTION quotestring(@string nvarchar(MAX)) 
RETURNS nvarchar(MAX) AS
BEGIN
    RETURN(REPLACE(@string,'''',''''''))
END

...除非我误解了某些内容。

Answer 5

在编写动态 SQL 时，您将希望尽可能多地参数化，并且仅在绝对必要时才采用字符转义。 您不能参数化@table，但可以参数化@message。

DECLARE @insert NVARCHAR(MAX)
set @insert = 'INSERT INTO [dbo].' + quotename(@table) + ' values(@message)'
exec sys.sp_executesql @insert, N'@message nvarchar(max)', @message = @inMessage;

攻击者可以通过多种方式利用动态 SQL，包括缓冲区长度攻击和使用 unicode 等效字符。 我曾经遇到过一个例子，转义单引号字符仍然存在一个漏洞，可以传入引号字符的 unicode 等效项之一。软件堆栈的一部分正在执行 unicode 到 ascii 的转换，因此可以注入他们逃脱后引用回来。 哎哟。