C#. .NET, um SQL-Injektionsangriffe zu verhindern

Kleiner Abschaum · Veröffentlicht am 19.04.2015 23:32:01

#region 防止sql注入式攻击(可用于UI层控制）
///
/// 判断字符串中是否有SQL攻击代码
///
/// 传入用户提交数据
/// true-安全；false-有注入攻击现有；
public bool ProcessSqlStr( string inputString)
{
string SqlStr = @"
and|or|exec|execute|insert|select|delete|update|alter|create|drop|count|\*|chr|char|asc|mid|substring|master|truncate|declare|xp_cmdshell|restore|backup|net +user|net
+localgroup +administrators " ;
try
{
if ((inputString != null ) && (inputString != String.Empty))
{
string str_Regex = @" \b( " + SqlStr + @" )\b " ;
Regex Regex = new Regex(str_Regex, RegexOptions.IgnoreCase);
// string s = Regex.Match(inputString).Value;
if ( true == Regex.IsMatch(inputString))
return false ;
}
}
catch
{
return false ;
}
return true ;
}
///
/// 处理用户提交的请求，校验sql注入式攻击,在页面装置时候运行
/// System.Configuration.ConfigurationSettings.AppSettings["ErrorPage"].ToString(); 为用户自定义错误页面提示地址,
/// 在Web.Config文件时里面添加一个 ErrorPage 即可
///
///
///
public void ProcessRequest()
{
try
{
string getkeys = "" ;
string sqlErrorPage = System.Configuration.ConfigurationSettings.AppSettings[ " ErrorPage " ].ToString();
if (System.Web.HttpContext.Current.Request.QueryString != null )
{
for ( int i = 0 ; i < System.Web.HttpContext.Current.Request.QueryString.Count; i ++ )
{
getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys;
if ( ! ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage + " ?errmsg= " + getkeys + " 有SQL攻击嫌疑！ " );
System.Web.HttpContext.Current.Response.End();
}
}
}
if (System.Web.HttpContext.Current.Request.Form != null )
{
for ( int i = 0 ; i < System.Web.HttpContext.Current.Request.Form.Count; i ++ )
{
getkeys = System.Web.HttpContext.Current.Request.Form.Keys;
if ( ! ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage + " ?errmsg= " + getkeys + " 有SQL攻击嫌疑！ " );
System.Web.HttpContext.Current.Response.End();
}
}
}
}
catch
{
// 错误处理: 处理用户提交信息!
}
}
#endregion

Code kopieren

Unsere Lösung ist:
1. Erstens stellt das System beim Eingabe der Benutzeroberfläche zur Kontrolle von Art und Länge der Daten zur Verhinderung von SQL-Injektionsangriffen eine Funktion zur Erkennung von Injektionsangriffen bereit; sobald der Injektionsangriff erkannt wurde, können die Daten nicht mehr übermittelt werden;
2. Steuerung der Geschäftslogikschicht, indem SQL-Schlüsselwörter innerhalb der Methode auf bestimmte Weise blockiert und dann die Datenlänge überprüft wird, um sicherzustellen, dass beim Einreichen von SQL kein SQL-Datenbankinjektionsangriff verwendet wird; Nach dieser Verarbeitung werden die maskierten Zeichen jedoch beim Ausgaben der Benutzeroberfläche wiederhergestellt. Daher bietet das System Funktionen zur Abschirmung von Zeichen und Funktionen zur Wiederherstellung von Zeichen.
3. In der Datenzugriffsschicht werden die meisten Daten von gespeicherten Prozeduren abgerufen, und die gespeicherten Prozedurparameter werden beim Aufruf abgerufen, was ebenfalls Injektionsangriffe verhindert.

[WinForm] C#. .NET, um SQL-Injektionsangriffe zu verhindern

Verwandte Beiträge

Betrachtete Abschnitte