c# - 如何在允许良性 SQL 注入(inject)的同时防止恶意 SQL 注入(inject)攻击？

Question

我正在编写一个 ASP.NET MVC4 应用程序，它最终会动态构建一个 SQL SELECT 语句，以便稍后存储和执行。动态 SQL 的结构由用户配置以用户友好的方式确定，具有标准复选框、下拉列表和自由格式输入文本框。验证输入并使用参数化查询构建 SQL 字符串就足够简单了，除了我需要允许高级用户能够输入自定义 SQL 以直接注入(inject)到 SELECT 和 WHERE 子句中。那么我可以使用什么技术来清理自定义 SQL 表达式或以其他方式防止来自聪明用户的不需要的输入呢？我可以很容易地解析可疑关键字和黑名单插入/更新/删除/等的字符串，但有些东西告诉我这不会 100% 保护我。

我很乐意提供有关我在这里所做工作的更多详细信息，但我不确定其他哪些详细信息会有所帮助，因为我觉得我的问题虽然可能不常见，但非常普遍。

Answer 1

与其他观点相反，它是可以安全地做到这一点(看看Data Explorer)。以下是您可以做的四件事:

账户安全

Sql Server 将允许您限制用于连接到数据库的帐户的可用权限。只授予读取权限，并且只授予适当的表。然后有人可以注入(inject)恶意代码，直到他们脸色发青，但在编译步骤会失败，因为他们没有足够的权限。这可能意味着为此访问使用与应用程序其他部分不同的连接字符串。

请注意，这对 sql 代码很有用，但也有其他类型的注入(inject)。如果您曾在运行查询之前将页面上的查询(全部或部分)显示给用户，您还应该注意 javascript 注入(inject)攻击，例如跨站点脚本。

查询调控器

您还想防御拒绝服务攻击。 Sql 数据库使这些事情很容易发生，即使是意外，只需构建一个低效的查询。为了对抗这种威胁，你应该看看 query governor Sql Server 中的功能。请注意，调整这个东西很棘手。

隔离

最安全的方法是同时使用托管在专用服务器上的专用、经过净化的报告数据库。这确保了任何查询都不会影响生产，无论是在性能方面还是在服务器或帐户被破坏方面。 sql server 中有一些功能，例如 SSIS，您可以使用它们自动从生产中填充报告数据库。

使用产品

关于安全性的一件事是您永远不想自己构建自己的安全系统。创建看似有效、通过测试但存在细微缺陷的东西很容易，这些缺陷会在以后导致漏洞。您想依赖供应商的产品，将这种事情作为核心竞争力。这意味着它经过了实战测试(发现并修复了不可避免的错误)，如果存在缺陷，该缺陷可能最终会首先暴露给其他人。这也意味着供应商可以提供支持和一定程度的赔偿。通常我从身份验证系统的角度来谈论这个，但这个规则也适用于 sql 注入(inject)防御。

在这种情况下，可能值得查看 Stack Overflow 的 Data Explorer .这是一个允许不受信任的用户构建任意查询的工具。该项目是open source ，这样您就可以亲眼看到他们为确保安全所做的工作，或者甚至只是将该项目 fork 供您自己使用。再次值得一提的是，该工具的安全性的很大一部分是它旨在用于专用的、经过清理的数据库，因此它不会免除您对其他项目的影响。

---

不过，归根结底，我认为设置一些 View 并通过报告服务提供访问权限的评论可能是您最好的选择。