EF 6 виконує нативні SQL-оператори, задачі ін'єкції параметрів

Маленька покидька · Опубліковано 14.06.2023 21:14:48

Вимоги: Проєкт використовує фреймворк EF ORM для додавання, видалення, модифікації та перевірки бази даних, але через складні запити може бути неможливо використовувати Linq і Lambda для кращих запитів, тому потрібно використовувати EF 6 для виконання нативних SQL-операторів для запитів.

Сирий SQL-запит (EF6):Вхід за гіперпосиланням видно.

Оскільки SQL-оператори повинні нести умову where, значення параметра передається через параметр URL.

По-перше, наш SQL-оператор використовує конкатенацію рядків для запиту, наступним чином:

Код виглядає так:

Вхід видно.

Ви можете побачити SQL-оператори, які виконує база даних, наступним чином:

ВИБРАТИ Назву З [Класифікація] ДЕ Ім'я = 'Мобільна розробка'; оберіть 1; --'

ПеревалСплайсинг SQL-операторів ризикує ін'єкцією。

Ми модифікували код, щоб запобігти атакам SQL-ін'єкцій, параметризуючи запити, і код виглядає так:

Вхід видно.

виконавчий sp_executesql N'SELECT Name FROM [Classification] WHERE Name = @n',N'@n nvarchar(17)', @n=N'Mobile Dev''; оберіть 1; --'

Замість прямого використання сплайсингу EF Core перетворює його у параметризовані SQL-оператори. Джерела наведені нижче:

EF Core Series (5) виконує SQL-оператори або перегляди, збережені процедури
https://www.itsvse.com/thread-9565-1-1.html

(Кінець)

Маленька покидька · Опубліковано 17.06.2023 11:11:50

Тестування SQL-ін'єкцій за допомогою інструменту проникнення SQLMAP
https://www.itsvse.com/thread-10611-1-1.html

Маленька покидька · Опубліковано 30.06.2023 20:47:17

Стенографічна форма

Вхід видно.

Маленька покидька · Опубліковано 02.01.2025 12:10:38

[Справжній бій]. Генератор запитів NET/C# SQL на основі sqlkata
https://www.itsvse.com/thread-10370-1-1.html

[Джерело] EF 6 виконує нативні SQL-оператори, задачі ін'єкції параметрів

Пов'язані дописи

Переглянуті розділи