EF 6 выполняет нативные SQL-операторы, задачи инъекции параметров

Маленькая мразь · Опубликовано 14.06.2023 21:14:48

Требования: Проект использует фреймворк EF ORM для добавления, удаления, модификации и проверки базы данных, но из-за сложных запросов может быть невозможно использовать Linq и Lambda для более эффективных запросов, поэтому нам нужно использовать EF 6 для выполнения нативных SQL-операторов для запросов.

Необработанный SQL запрос (EF6):Вход по гиперссылке виден.

Поскольку SQL-операторы должны нести условие where, значение параметра передаётся через параметр URL.

Во-первых, наш SQL-оператор использует конкатенацию строк для запроса, следующим образом:

Код таков:

Вход виден.

Вы можете увидеть SQL-операторы, выполняемые базой данных, следующим образом:

ВЫБРАТЬ Название ИЗ [классификация] ГДЕ Имя = 'мобильная разработка'; выберите 1; --'

ПроходитьСпособ сплавления SQL-операторов подвержен риску инъекции。

Мы изменили код, чтобы предотвратить атаки SQL-инъекций, параметризировав запросы, и он выглядит следующим образом:

Вход виден.

исполнительный sp_executesql N'SELECT Name FROM [Классификация] ГДЕ Имя = @n',N'@n nvarchar(17)', @n=N'Мобильный разработчик''; выберите 1; --'

Вместо прямого сплайсинга EF Core преобразует его в параметризованные SQL-операторы. Ссылки таковы:

EF Core Series (5) выполняет SQL-операторы или просмотры, хранящиеся процедуры
https://www.itsvse.com/thread-9565-1-1.html

(Конец)

Маленькая мразь · Опубликовано 17.06.2023 11:11:50

Тестирование SQL-инъекций с помощью инструмента инфильтрации SQLMAP
https://www.itsvse.com/thread-10611-1-1.html

Маленькая мразь · Опубликовано 30.06.2023 20:47:17

Стенография

Вход виден.

Маленькая мразь · Опубликовано 02.01.2025 12:10:38

[Настоящий бой]. NET/C# SQL-генератор запросов на основе sqlkata
https://www.itsvse.com/thread-10370-1-1.html

[Источник] EF 6 выполняет нативные SQL-операторы, задачи инъекции параметров

Связанные публикации

Просмотренные разделы