C#. .NET pentru a preveni atacurile de injecție SQL

Mică mizerie · Postat pe 19.04.2015 23:32:01

#region 防止sql注入式攻击(可用于UI层控制）
///
/// 判断字符串中是否有SQL攻击代码
///
/// 传入用户提交数据
/// true-安全；false-有注入攻击现有；
public bool ProcessSqlStr( string inputString)
{
string SqlStr = @"
and|or|exec|execute|insert|select|delete|update|alter|create|drop|count|\*|chr|char|asc|mid|substring|master|truncate|declare|xp_cmdshell|restore|backup|net +user|net
+localgroup +administrators " ;
try
{
if ((inputString != null ) && (inputString != String.Empty))
{
string str_Regex = @" \b( " + SqlStr + @" )\b " ;
Regex Regex = new Regex(str_Regex, RegexOptions.IgnoreCase);
// string s = Regex.Match(inputString).Value;
if ( true == Regex.IsMatch(inputString))
return false ;
}
}
catch
{
return false ;
}
return true ;
}
///
/// 处理用户提交的请求，校验sql注入式攻击,在页面装置时候运行
/// System.Configuration.ConfigurationSettings.AppSettings["ErrorPage"].ToString(); 为用户自定义错误页面提示地址,
/// 在Web.Config文件时里面添加一个 ErrorPage 即可
///
///
///
public void ProcessRequest()
{
try
{
string getkeys = "" ;
string sqlErrorPage = System.Configuration.ConfigurationSettings.AppSettings[ " ErrorPage " ].ToString();
if (System.Web.HttpContext.Current.Request.QueryString != null )
{
for ( int i = 0 ; i < System.Web.HttpContext.Current.Request.QueryString.Count; i ++ )
{
getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys;
if ( ! ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage + " ?errmsg= " + getkeys + " 有SQL攻击嫌疑！ " );
System.Web.HttpContext.Current.Response.End();
}
}
}
if (System.Web.HttpContext.Current.Request.Form != null )
{
for ( int i = 0 ; i < System.Web.HttpContext.Current.Request.Form.Count; i ++ )
{
getkeys = System.Web.HttpContext.Current.Request.Form.Keys;
if ( ! ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys]))
{
System.Web.HttpContext.Current.Response.Redirect(sqlErrorPage + " ?errmsg= " + getkeys + " 有SQL攻击嫌疑！ " );
System.Web.HttpContext.Current.Response.End();
}
}
}
}
catch
{
// 错误处理: 处理用户提交信息!
}
}
#endregion

Cod de copiere

Soluția noastră este:
1. În primul rând, la introducerea interfeței, pentru a controla tipul și lungimea datelor și a preveni atacurile de injecție SQL, sistemul oferă o funcție de detectare a atacurilor de injecție; odată ce atacul de injecție este detectat, datele nu pot fi trimise;
2. Controlul stratului logicii de afaceri, prin blocarea cuvintelor cheie SQL într-un anumit mod în interiorul metodei, apoi verificarea lungimii datelor pentru a se asigura că nu va exista cod de atac prin injecție de bază de date SQL la trimiterea SQL; Totuși, după această procesare, caracterele mascate sunt restaurate atunci când interfața iese. Prin urmare, sistemul oferă funcții pentru a proteja personajele și funcții pentru restaurarea personajelor.
3. În stratul de acces la date, majoritatea datelor sunt accesate prin proceduri stocate, iar parametrii procedurilor stocate sunt accesați când sunt apelați, ceea ce va preveni atacurile de injecție.

[WinForm] C#. .NET pentru a preveni atacurile de injecție SQL

Postări conexe

Secțiuni vizualizate