sql - SQL 注入(inject)是否适用于 WMI 查询？

Question

SQL 注入(inject)对 WMI 构成威胁吗？

例如:

给定以下代码，如果 domainName是在外部提供且未经过清理的，恶意攻击者可能会实现什么？

string domainName = "user-inputted-domain.com";
string wql = "SELECT * 
    FROM MicrosoftDNS_ATYPE
    WHERE OwnerName = '" + domainName + "'";
// perform WMI query here...

如果它是一种威胁，我想它是，那么最好的防御方法是什么，而不是像使用 LINQ 那样不使用正常的参数化查询？会简单地去掉任何 [ ' ] 字符有诀窍吗？

另一方面，是否有任何用于查询 WMI 的 LINQ 扩展可以解决这个问题？

编辑:找到 SelectQuery 类(class)。还没有尝试过，但它似乎具有更强大的查询构建功能，例如一个 Condition属性(property)。

Answer 1

它以同样的方式易受攻击，因为他们可以在此之后输入任何任意条件。想想他们是否输入 foo' OR SomeOtherField='bar作为他们的输入。但是，我认为您不能在一个字符串中执行多个 WQL 查询，因此可以说它可能没有相同的“攻击面”，因为 WQL 是 SQL 的一小部分。

所以，攻击方法仍然有效，是的。您面临的具体风险取决于以下一些因素:

潜在的攻击者会提前终止您的 WQL 语句，然后插入他们自己的吗？

他们是否可以调整过滤器以释放比您想要的更多的数据(如上所述)？

可能还有很多我没有想到的