当查询未参数化时，如何使用 OdbcCommand 防止 SQL 注入？

Question

我正在编写一个通用的 sqldump 实用程序，它采用 DSN 和表名并将内容转储到文件中。这是一个内部应用程序，因此 SQL 注入并不是一个严重的威胁，但我不想担心它。问题是，查询的变量部分实际上是表名，因此查询将如下所示：

select * from [tablename];

...我认为这不会与 OdbcCommand 的参数化查询支持很好地配合。我还尝试尽可能普遍地支持所有类型的 DSN，无论 DSN 另一端的驱动程序如何。

是否有某种通用方法可以清理我的 tablename 输入，以防止使用 OdbcCommand 对象进行所有 SQL 注入？

Answer 1

我会根据您知道的表列表检查用户输入，使用大致类似于发布的代码 此处 检索表列表（为后代提供的链接中的代码）：

class Program
{
  static void Main(string[] args)
  {
  string connectionString = GetConnectionString();
  using (SqlConnection connection = new SqlConnection(connectionString))
  {
   // Connect to the database then retrieve the schema information.
   connection.Open();
   DataTable table = connection.GetSchema("Tables");

   // Display the contents of the table.
   DisplayData(table);
   Console.WriteLine("Press any key to continue.");
   Console.ReadKey();
   }
 }

也就是说，我同意上面的@KeithS。这可能是一个坏主意。

Answer 2

SQL Server 的 [] 带引号的标识符中唯一的特殊字符是 ]，并且可以通过传递 ]] 对其进行转义。因此， "select * from [" + tableName.Replace("]", "]]") + "];" 应该是安全的。然而，其他系统可能使用其他转义机制，因此如果您想连接到不同类型的数据库，这不是完整的解决方案。

或者，考虑每个字符，并查看它是否是您希望支持的表名称的有效字符。如果你说表名只包含字母、数字和/或空格，那么 SQL 注入是不可能的，因为你永远无法取消引用 [quoted table name]。

Answer 3

您可以首先查询 information_schema 来查明该表是否存在：

select * 
from information_schema.tables 
where table_schema = @your_database_name and table_name = @table_name

此查询可以参数化，并且不容易受到 SQL 注入。

接下来，您可以发出 select * from @table_name 查询。

Answer 4

如果表名包含在 [ ] 中，则不允许表名包含 "]"。 ] 可能被恶意者用来终止 sql 命令并引入危险代码。

如果您像这样构造 sql

string sql = "SELECT * FROM [" + tablename + "]"; 

，并且 tablename 定义如下，则

string tablename = "tablename]; DELETE FROM [tablename";

生成的 sql 变为：

SELECT * FROM [tablename]; DELETE FROM [tablename]; 

但是，只有当表名称包含 ] 时，这才是可能的。

---

注意：

如果您要像这样替换字符串值，那么用两个单引号替换一个单引号也可以保证安全。

string sql = "SELECT * FROM tbl WHERE Name = '" + input.Replace("'","''") + "'";