EF 6는 네이티브 SQL 문과 매개변수 주입 문제를 실행합니다

작은 쓰레기 같은 놈들 · 게시됨 2023. 6. 14. 오후 9:14:48

요구사항: 프로젝트는 EF ORM 프레임워크를 사용하여 데이터베이스를 추가, 삭제, 수정 및 점검하지만, 복잡한 쿼리 앞에서는 Linq와 Lambda를 사용해 더 나은 쿼리를 구현하기 어려울 수 있으므로, 쿼리를 위해 EF 6를 사용해 네이티브 SQL 문장을 실행해야 합니다.

원시 SQL 쿼리 (EF6):하이퍼링크 로그인이 보입니다.

SQL 문은 where 조건을 포함해야 하므로 매개변수 값은 URL 매개변수를 통해 전달됩니다.

먼저, 우리 SQL 문장은 다음과 같이 문자열 연결 방식으로 쿼리를 사용합니다:

코드는 다음과 같습니다:

로그인이 보이네요.

데이터베이스에서 실행되는 SQL 문은 다음과 같이 확인할 수 있습니다:

[분류] 중에서 이름 선택 HERE 이름 = '모바일 개발'; 선택 1; --'

합격SQL 문이 스플라이싱되는 방식이 인젝션 위험에 노출되어 있습니다。

SQL 인젝션 공격을 방지하기 위해 쿼리를 매개변수화하여 코드를 수정했으며, 코드는 다음과 같습니다:

로그인이 보이네요.

exec sp_executesql N'SELECT Name FROM [분류] WHERE Name = @n',N'@n nvarchar(17)', @n=N'Mobile Dev'''; 선택 1; --'

EF 코어는 스플라이싱을 직접 사용하는 대신, 이를 매개변수화된 SQL 문으로 변환합니다. 참고문헌은 다음과 같습니다:

EF 코어 시리즈(5)는 SQL 문이나 뷰, 저장 프로시저를 실행합니다
https://www.itsvse.com/thread-9565-1-1.html

(끝)

작은 쓰레기 같은 놈들 · 게시됨 2023. 6. 17. 오전 11:11:50

SQLMAP 침투 도구를 이용한 SQL 주입 테스트
https://www.itsvse.com/thread-10611-1-1.html

작은 쓰레기 같은 놈들 · 게시됨 2023. 6. 30. 오후 8:47:17

속기형

로그인이 보이네요.

작은 쓰레기 같은 놈들 · 게시됨 2025. 1. 2. 오후 12:10:38

[실제 전투]. sqlkata 기반 NET/C# SQL 쿼리 생성기
https://www.itsvse.com/thread-10370-1-1.html

[출처] EF 6는 네이티브 SQL 문과 매개변수 주입 문제를 실행합니다

관련 게시물

본 섹션