C#. .NET 사용법: SQL 인젝션 공격 방지

작은 쓰레기 같은 놈들 · 게시됨 2015. 4. 19. 오후 11:32:01

#region 防止sql注入式攻击(可用于UI层控制）
///
/// 判断字符串中是否有SQL攻击代码
///
/// 传入用户提交数据
/// true-安全；false-有注入攻击现有；
public bool ProcessSqlStr( string inputString)
{
string SqlStr = @"
and|or|exec|execute|insert|select|delete|update|alter|create|drop|count|\*|chr|char|asc|mid|substring|master|truncate|declare|xp_cmdshell|restore|backup|net +user|net
+localgroup +administrators " ;
try
{
if ((inputString != null ) && (inputString != String.Empty))
{
string str_Regex = @" \b( " + SqlStr + @" )\b " ;
Regex Regex = new Regex(str_Regex, RegexOptions.IgnoreCase);
// string s = Regex.Match(inputString).Value;
if ( true == Regex.IsMatch(inputString))
return false ;
}
}
catch
{
return false ;
}
return true ;
}
///
/// 处理用户提交的请求，校验sql注入式攻击,在页面装置时候运行
/// System.Configuration.ConfigurationSettings.AppSettings["ErrorPage"].ToString(); 为用户自定义错误页面提示地址,
/// 在Web.Config文件时里面添加一个 ErrorPage 即可
///
///
///
public void ProcessRequest()
{
try
{
string getkeys = "" ;
string sqlErrorPage = System.Configuration.ConfigurationSettings.AppSettings[ " ErrorPage " ].ToString();
if (System.Web.HttpContext.Current.Request.QueryString != null )
{
for ( int i = 0 ; i < System.Web.HttpContext.Current.Request.QueryString.Count; i ++ )
{
getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys;
if ( ! ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage + " ?errmsg= " + getkeys + " 有SQL攻击嫌疑！ " );
System.Web.HttpContext.Current.Response.End();
}
}
}
if (System.Web.HttpContext.Current.Request.Form != null )
{
for ( int i = 0 ; i < System.Web.HttpContext.Current.Request.Form.Count; i ++ )
{
getkeys = System.Web.HttpContext.Current.Request.Form.Keys;
if ( ! ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage + " ?errmsg= " + getkeys + " 有SQL攻击嫌疑！ " );
System.Web.HttpContext.Current.Response.End();
}
}
}
}
catch
{
// 错误处理: 处理用户提交信息!
}
}
#endregion

코드 복사

우리의 해결책은 다음과 같습니다:
첫째, UI에 입력할 때, SQL 인젝션 공격을 방지하기 위해 데이터의 유형과 길이를 제어하기 위해 시스템은 인젝션 공격을 감지하는 기능을 제공합니다. 인젝션 공격이 감지되면 데이터를 제출할 수 없습니다;
2. 비즈니스 로직 계층 제어: 메서드 내에서 SQL 키워드를 특정 방식으로 차단하고, SQL 제출 시 SQL 데이터베이스 주입 공격 코드가 없는지 데이터 길이를 확인하며; 하지만 이 처리 후에는 UI 출력에서 마스크 처리된 문자가 복원됩니다. 따라서 시스템은 문자를 보호하는 기능과 문자를 복원하는 기능을 제공합니다.
3. 데이터 접근 계층에서는 대부분의 데이터가 저장 프로시저에 의해 접근되며, 저장 프로시저 매개변수는 호출 시 접근되어 인젝션 공격도 방지합니다.

[윈폼] C#. .NET 사용법: SQL 인젝션 공격 방지

관련 게시물

본 섹션