sql注入问题

Question

我有以下代码片段。

SqlCommand cmd = new SqlCommand("SELECT FName,LName FROM EMPLOYEE_TABLE WHERE EmployeeID = '" +TextBox1.Text + "' AND Password = '"+ TextBox2.Text +"'", con);
SqlDataReader x = cmd.ExecuteReader();

try
{ 
    if (x.Read())
    {
        name = (string)x["FName"] +' '+ (string)x["LName"];
        Session["NAME"] = name;
        Session["ID"] = TextBox1.Text;
        Response.Redirect("sample.aspx?action=On_Click");
    }
    else
    {
        errormsg.Text = "login failed.Please enter Valid UserID and Password";
        errormsg.ForeColor = System.Drawing.Color.Red;
    }
}
catch (Exception exp)
{
    errormsg.Text = "Sorry,You dont have access to this portal.";
}
finally
{
    x.Close();
    con.Close();
}

现在，当我使用有效的 ID（存在）和密码作为 abc' 或 'x'='x 时，它会登录到数据库中表的第一个帐户。到这为止就好了。

但是，当我尝试调试代码时，它会抛出错误无法计算表达式，因为代码已优化或本机框架位于调用堆栈顶部。。

另外，如果它抛出错误，那么为什么它要登录数据库的第一个帐户。注意：数据库的第一个帐户的用户 ID 与我提供的用户 ID 不同。

注：我是这个应用程序的开发者。所以我没有做任何违法的事情。 :)

Answer 1

看看你的SQL的这一部分：

   "' AND Password = '"+ TextBox2.Text +"'"

有了你的密码，这

   "' AND Password = ''x'='x'"

不是你想要的SQL。

即使您尝试进行 SQL 注入，也必须生成有效的 SQL。通常，在结束引用后用分号结束语句。请参阅：

http://xkcd.com/327/

Answer 2

好的，根据您遇到的主要问题提供答案（正如您所说，您是 SQL 注入问题的新手）。

SQL 注入是由于在构建过程中使用用户输入动态构建 SQL 查询而引起的。 .Net 中最简单的解决方案是创建参数化查询。

我认为杰夫·阿特伍德有最完整而简洁的文章，提供了解释和完整的示例 此处

引自上面的链接：

SqlConnection conn = new SqlConnection(_connectionString);
conn.Open();
string s = "SELECT email, passwd, login_id, full_name " + 
  "FROM members WHERE email = @email";
SqlCommand cmd = new SqlCommand(s);
cmd.Parameters.Add("@email", email);
SqlDataReader reader = cmd.ExecuteReader();

当前的问题：

它仍然登录帐户的原因是因为查询仍然“有效”。

该语句仍然会被执行，并且仍然会从数据库返回相关记录，不会抛出异常。

当提供无效数据时停止登录过程的唯一方法是在执行查询之前验证输入。在将用户输入发送到数据库之前，您应该始终验证用户输入。如果用户提供：

username'; drop table users;--

作为用户名，您将会遇到很多麻烦。

Answer 3

您遇到的错误是调试错误，而不是实际的程序异常。这就是为什么当你正常运行它时它会起作用。

为了纠正该错误，我首先确保所有内容都在调试版本中运行。另外，请确保您当前正在调试要检查的变量的函数。尝试单步执行 (F10) 几次越过断点以刷新上下文。对于该特定错误，互联网上有很多其他建议，因此如果您仍然遇到问题，您可能需要进行一些谷歌搜索。