vb.net - 检测 SQL 注入(inject)

Question

我来到一家已经有一个完全成熟的项目的公司......但是在我之前在这里工作的编码人员没有遵循惯例，也没有使用参数化的 SQL 查询......因此在一个非常巨大的地方有超过 1000 个地方可能容易受到 SQL 注入(inject)攻击的项目...

我需要找到一个能够自动检测代码中是否存在 SQL 注入(inject)的解决方案。因此，例如，有一个表单允许用户输入有关产品的评论，这些评论将在提交时发送到数据库......我们如何确保用户没有输入有害查询而不是普通文本？

是否有任何高级代码/正则表达式/魔术可以检测此文本是否包含一段 SQL 查询而不是正常的无害文本？我将接受任何链接、任何语言的代码片段，甚至可以为我做这些的商业软件。

谢谢

Answer 1

这里没有 Elixir 。 SQL 注入(inject)可能以许多模糊的形式出现，并尝试使用正则表达式或防火墙中的其他形式来检测它们，或者应用程序可以保护您免受最简单形式的 SQL 注入(inject)，但有经验的黑客会轻松通过。正如 AdaTheDev 已经指出的那样，检查您的代码的自动化工具，例如 MS 代码分析工具，可能会给您一个启动，但同样没有 Elixir 。您将需要完成整个应用程序。

当这是很多工作时，你应该制定一个计划。首先，制定一个指南，说明如何减轻这些类型的攻击。还要尝试将您的应用程序分成几部分，从非常关键到不太关键。通过这种方式，您可以更好地估算修复错误的成本，并让管理层决定可能的成本以及他们愿意承担的风险。未经身份验证的用户可以访问的应用程序部分是最关键的。如果(世界上)每个人都可以在您的应用程序中创建一个帐户，那么这些用户可以访问的所有功能都非常关键。人口越少，您越信任这些用户，风险就越小。您也许可以稍后修复这些部件。但永远不要低估一个优秀的黑客。他/她可能会破坏具有高权限的用户的帐户，并开始使用该帐户测试 SQL 注入(inject)的可能性。

始终尝试制定纵深防御策略，拥有多层(或多层)防御。例如，永远不要在应用程序中将数据库作为 SA 连接。创建一个仅具有所需权限的帐户，甚至可能创建多个 SQL 帐户，每个角色(或每个角色组)一个帐户。虽然限制对数据库的权限有助于降低风险，但同样，不要将其视为单一防御层。 This article例如，解释了黑客在能够进行 SQL 注入(inject)时如何滥用较低权限的帐户。

很佩服你在这里问这个问题，因为我过去看到很多开发人员只是不想知道，这很可怕，因为业务经常信任它的开发人员(这也很可怕)。

祝你好运。