如何防止 order by 子句上的冷融合 SQL 注入

Question

由于 cfqueryparam 不能按 order by 工作，使用 xmlformat 会停止 sql 注入吗？

ORDER BY #xmlformat(myVariable)#

谢谢，

Answer 1

http://www.petefreitag.com/item/677.cfm

一个好方法解决此限制的方法是使用 ListFindNoCase 函数来限制可排序的列名称，例如：

<cfset sortable_column_list = "age,height,weight,first_name">
<cfquery ...>
  SELECT first_name, age, height, weight
  FROM people
  ORDER BY <cfif ListFindNoCase(sortable_column_list, url.sort_column)>#url.sort_column#<cfelse>first_name</cfif>
</cfquery>

Answer 2

这是来自存储过程，但将 @ORDER_BY 值转换为实际的数据库列，并将 @SORT_ORDER 值转换为 SQL 命令。

ORDER BY 
    CASE WHEN @ORDER_BY = 'LENDER' AND @SORT_ORDER = 'D' THEN l.tms_name END DESC,
    CASE WHEN @ORDER_BY = 'LENDER' AND @SORT_ORDER != 'D' THEN l.tms_name END,
    CASE WHEN @ORDER_BY = 'LOAN_NUMBER' AND @SORT_ORDER = 'D' THEN p.Loan_Number END DESC,
    CASE WHEN @ORDER_BY = 'LOAN_NUMBER' AND @SORT_ORDER != 'D' THEN p.Loan_Number END,

Answer 3

XML 格式无法处理所有情况。

列检查很好，但我猜测让用户定义顺序的优点是因为您可以使其比单个列更复杂。例如，您可以添加几列以及升序、降序等...

我建议您创建一个全局可用的函数，该函数可以去除任何不是数字、字母或逗号的字符。如果有人尝试进行 SQL 注入，它就会失败。

Answer 4

<cfif refindnocas('^\w+ ?(desc|asc)?
或
<cfset columnList = 'col1,col2,etc' /> <!--- might want to use in select as well --->
<cfset regexColList = replace(columnList, ',', '|', 'all') />

<cfif not refindnocas('^(#regexColList#) ?(desc|asc)?
或
ORDER BY #query_sort(myVariable, columnList, defaultSort)#

...

<cffunction name="query_sort">
    <cfargument name="sort" />
    <cfargument name="columns" />
    <cfargument name"default" />

    <cfset var regexcolumns = replace(columns, ',', '|', 'all') />
    <cfif refindnocas('^(#regexcolumns#) ?(desc|asc)?
等等
, myVariable)>
    ORDER BY #myVariable#
</cfif>

或

或

等等
, myVariable)>
    <cfset myVariable = "DefaultSort" />
</cfif>
ORDER BY #myVariable#

或

等等
, myVariable)>
    ORDER BY #myVariable#
</cfif>

或

或

等等

, sort)> <cfreturn sort /> <cfelse> <cfreturn default /> </cfif> </cfargument>

等等

, myVariable)> ORDER BY #myVariable# </cfif>

或

或

等等

, myVariable)> <cfset myVariable = "DefaultSort" /> </cfif> ORDER BY #myVariable#

或

等等

, myVariable)> ORDER BY #myVariable# </cfif>

或

或

等等

Answer 5

另一种选择是对 ListFindNoCase 方法稍加修改。列信息可以存储在结构中。 key 将是公开可见的列名称，value 是真实的列名称。它有点复杂。但我喜欢这样一个事实：它不需要您公开您的架构。正如戴夫提到的，它还支持更多复合语句。

<cfset sortCols = { defaultCol="DepartmentName"
                    , date="ReportDate"
                    , type="DepartmentName"
                    , num="EmployeeID" } />
....
SELECT   Columns 
FROM     TableName
ORDER BY 
<cfif structKeyExists(sortCols, url.sort_column)> 
    #sortCols[url.sort_column]#
<cfelse>
    #sortCols["defaultCol"]#
</cfif>