Delphi - 防止SQL注入

Question

我需要保护应用程序免受 SQL 注入。应用程序使用ADO连接到Oracle，并搜索用户名和密码进行身份验证。

从我到目前为止所读到的内容来看，最好的方法是使用参数，而不是将整个 SQL 分配为字符串。像这样的事情：

query.SQL.Text := 'select * from table_name where name=:Name and id=:ID'; 
query.Prepare; 
query.ParamByName( 'Name' ).AsString := name; 
query.ParamByName( 'ID' ).AsInteger := id; 
query.Open;

另外，我正在考虑验证用户的输入，并删除 SQL 关键字，如删除、插入、选择等...任何与正常 ASCII 字母和数字不同的输入字符都将被删除。

这能保证我的最低安全级别吗？

我不想使用除 Delphi 7 标准和 Jedi 之外的任何其他组件。

Answer 1

安全

query.SQL.Text := 'select * from table_name where name=:Name';

此代码是安全的，因为您正在使用参数。
参数始终不会受到 SQL 注入的影响。

不安全

var Username: string;
...
query.SQL.Text := 'select * from table_name where name='+ UserName;

不安全，因为用户名可能是name；删除表名；
导致执行以下查询。

select * from table_name where name=name; Drop table_name;

也不安全

var Username: string;
...
query.SQL.Text := 'select * from table_name where name='''+ UserName+'''';

因为如果用户名是'或(1=1);删除表名； --
它将产生以下查询：

select * from table_name where name='' or (1=1); Drop Table_name; -- '

但是此代码是安全的

var id: integer;
...
query.SQL.Text := 'select * from table_name where id='+IntToStr(id);

因为 IntToStr() 只接受整数，因此不能通过这种方式将 SQL 代码注入到查询字符串中，只能数字（这正是您想要的，因此是允许的）

但我想做一些无法使用参数完成的事情

参数只能用于值。它们不能替换字段名称或表名称。
因此，如果要执行此查询，

query:= 'SELECT * FROM :dynamic_table '; {doesn't work}
query:= 'SELECT * FROM '+tableName;      {works, but is unsafe}

第一个查询会失败，因为不能使用表或字段名称的参数。
第二个查询不安全，但这是完成此操作的唯一方法。
如何保持安全？

您必须根据批准的名称列表检查字符串tablename。

Const
  ApprovedTables: array[0..1] of string = ('table1','table2');

procedure DoQuery(tablename: string);
var
  i: integer;
  Approved: boolean;
  query: string;
begin
  Approved:= false;
  for i:= lo(ApprovedTables) to hi(ApprovedTables) do begin
    Approved:= Approved or (lowercase(tablename) = ApprovedTables[i]);
  end; {for i}
  if not Approved then exit;
  query:= 'SELECT * FROM '+tablename;
  ...

据我所知，这是唯一的方法。

顺便说一句，您的原始代码有一个错误：

query.SQL.Text := 'select * from table_name where name=:Name where id=:ID'; 

应该是

query.SQL.Text := 'select * from table_name where name=:Name and id=:ID'; 

您不能在一个（子）查询中有两个 where

Answer 2

如果您允许用户仅影响将绑定到带有占位符的 sql 命令文本中的参数值，那么您实际上不需要检查用户输入的内容：避免的最简单方法正如您提到的，SQL 注入是为了避免连接 SQL，并且使用绑定变量（或调用过程）可以做到这一点（它还有​​一个优点 - 里程/相关性取决于数据库 - 允许引擎重复使用查询计划） 。

如果您使用 Oracle，那么您需要有一个不使用绑定变量的充分理由：Tom Kyte 在他的网站上有大量关于这方面的好信息 http://asktom.oracle.com。只需在搜索框中输入“绑定变量”即可。

Answer 3

这可以保证我的最低安全级别吗？

是的，参数化查询应该可以保护您免受 SQL 注入的影响，这很容易测试。只需在 name 变量中输入一些危险的字符串，然后看看会发生什么。通常您应该返回 0 行而不是错误。