SQL 注入原理

SQL注入是一种攻击方式，在这种攻击方式中，恶意代码被插入到字符串中，然后将该字符串传递到SQLServer的实例以进行分析和执行。任何构成SQL语句的过程都应进行注入漏洞检查，因为SQLServer将执行其接收到的所有语法有效的查询。一个有经验的、坚定的攻击者甚至可以操作参数化数据。

SQL注入的主要形式包括直接将代码插入到与SQL命令串联在一起并使其得以执行的用户输入变量。一种间接的攻击会将恶意代码注入要在表中存储或作为元数据存储的字符串。在存储的字符串随后串连到一个动态SQL命令中时，将执行该恶意代码。

注入过程的工作方式是提前终止文本字符串，然后追加一个新的命令。由于插入的命令可能在执行前追加其他字符串，因此攻击者将用注释标记“--”来终止注入的字符串。执行时，此后的文本将被忽略。

以下脚本显示了一个简单的SQL注入。此脚本通过串联硬编码字符串和用户输入的字符串而生成一个SQL查询：


varShipcity;


ShipCity=Request.form("ShipCity");


varsql="select*fromOrdersTablewhereShipCity='"+ShipCity+"'";

用户将被提示输入一个市县名称。如果用户输入

Redmond

，则查询将由与下面内容相似的脚本组成：

但是，假定用户输入以下内容：

此时，脚本将组成以下查询：


SELECT*FROMOrdersTableWHEREShipCity='Redmond'


Redmond';droptableOrdersTable--


SELECT*FROMOrdersTableWHEREShipCity='Redmond';droptableOrdersTable--'

分号(;)表示一个查询的结束和另一个查询的开始。双连字符(--)指示当前行余下的部分是一个注释，应该忽略。如果修改后的代码语法正确，则服务器将执行该代码。SQLServer处理该语句时，SQLServer将首先选择

OrdersTable

中的所有记录（其中

ShipCity

为

Redmond

）。然后，SQLServer将删除

OrdersTable

。

只要注入的SQL代码语法正确，便无法采用编程方式来检测篡改。因此，必须验证所有用户输入，并仔细检查在您所用的服务器中执行构造SQL命令的代码。本主题中的以下各部分说明了编写代码的最佳做法。

验证所有输入

始终通过测试类型、长度、格式和范围来验证用户输入。实现对恶意输入的预防时，请注意应用程序的体系结构和部署方案。请记住，为在安全环境下运行而设计的程序可能被复制到不安全的环境中。以下建议应被视为最佳做法：

对应用程序接收的数据不做任何有关大小、类型或内容的假设。例如，您应该进行以下评估：

如果一个用户在需要邮政编码的位置无意中或恶意地输入了一个10MB的MPEG文件，应用程序会做出什么反应？

如果在文本字段中嵌入了一个DROPTABLE语句，应用程序会做出什么反应？

测试输入的大小和数据类型，强制执行适当的限制。这有助于防止有意造成的缓冲区溢出。

测试字符串变量的内容，只接受所需的值。拒绝包含二进制数据、转义序列和注释字符的输入内容。这有助于防止脚本注入，防止某些缓冲区溢出攻击。

使用XML文档时，根据数据的架构对输入的所有数据进行验证。

绝不直接使用用户输入内容来生成Transact-SQL语句。

使用存储过程来验证用户输入。

在多层环境中，所有数据都应该在验证之后才允许进入可信区域。未通过验证过程的数据应被拒绝，并向前一层返回一个错误。

实现多层验证。对无目的的恶意用户采取的预防措施对坚定的攻击者可能无效。更好的做法是在用户界面和所有跨信任边界的后续点上验证输入。

例如，在客户端应用程序中验证数据可以防止简单的脚本注入。但是，如果下一层假设其输入已被验证，则任何可以跳过客户端的恶意用户就可能不受限制地访问系统。

绝不串联未验证的用户输入。字符串串联是脚本注入的主要输入点。

在可能据以构造文件名的字段中，不接受下列字符串：AUX、CLOCK$、COM1到COM8、CON、CONFIG$、LPT1到LPT8、NUL以及PRN。

如果可能，拒绝包含以下字符的输入。

输入字符	在Transact-SQL中的含义
;	查询分隔符。
'	字符数据字符串分隔符。
--	注释分隔符。
/*...*/	注释分隔符。服务器不对/*和*/之间的注释进行处理。
Xp_	用于目录扩展存储过程的名称的开头，如xp_cmdshell。

使用类型安全的SQL参数

SQLServer中的Parameters集合提供了类型检查和长度验证。如果使用Parameters集合，则输入将被视为文字值而不是可执行代码。使用Parameters集合的另一个好处是可以强制执行类型和长度检查。范围以外的值将触发异常。以下代码段显示了如何使用Parameters集合：


SqlDataAdaptermyCommand=newSqlDataAdapter("AuthorLogin",conn);


myCommand.SelectCommand.CommandType=CommandType.StoredProcedure;


SqlParameterparm=myCommand.SelectCommand.Parameters.Add("@au_id",


SqlDbType.VarChar,11);


parm.Value=Login.Text;

在此示例中，

@au_id

参数被视为文字值而不是可执行代码。将对此值进行类型和长度检查。如果

@au_id

值不符合指定的类型和长度约束，则将引发异常。

在存储过程中使用参数化输入

存储过程如果使用未筛选的输入，则可能容易受SQLInjection攻击。例如，以下代码容易受到攻击：


SqlDataAdaptermyCommand=


newSqlDataAdapter("LoginStoredProcedure'"+


Login.Text+"'",conn);

如果使用存储过程，则应使用参数作为存储过程的输入。

在动态SQL中使用参数集合

如果不能使用存储过程，您仍可使用参数，如以下代码示例所示：

筛选输入

筛选输入可以删除转义符，这也可能有助于防止SQL注入。但由于可引起问题的字符数量很大，因此这并不是一种可靠的防护方法。以下示例可搜索字符串分隔符。


privatestringSafeSqlLiteral(stringinputSQL)




...{


returninputSQL.Replace("'","''");


}

LIKE子句

请注意，如果要使用LIKE子句，还必须对通配符字符进行转义：


s=s.Replace("[","[[]");


s=s.Replace("%","[%]");


s=s.Replace("_","[_]");

在代码中检查SQL注入

应检查所有调用EXECUTE、EXEC或sp_executesql的代码。可以使用类似如下的查询来帮助您标识包含这些语句的过程。

SELECTobject_Name(id)FROMsyscomments




WHEREUPPER(text)LIKE'%EXECUTE(%'




ORUPPER(text)LIKE'%EXECUTE(%'




ORUPPER(text)LIKE'%EXECUTE(%'




ORUPPER(text)LIKE'%EXECUTE(%'




ORUPPER(text)LIKE'%EXEC(%'




ORUPPER(text)LIKE'%EXEC(%'




ORUPPER(text)LIKE'%EXEC(%'




ORUPPER(text)LIKE'%EXEC(%'




ORUPPER(text)LIKE'%SP_EXECUTESQL%'

使用QUOTENAME()和REPLACE()包装参数

在选择的每个存储过程中，验证是否对动态Transact-SQL中使用的所有变量都进行了正确处理。来自存储过程的输入参数的数据或从表中读取的数据应包装在QUOTENAME()或REPLACE()中。请记住，传递给QUOTENAME()的@variable值的数据类型为sysname，且最大长度为128个字符。

@variable	建议的包装
安全对象的名称	QUOTENAME(@variable)
字符串=128个字符	QUOTENAME(@variable,'''')
字符串>128个字符	REPLACE(@variable,'''','''''')

使用此方法时，可对SET语句进行如下修改：


--Before:




SET@temp=N'select*fromauthorswhereau_lname='''




+@au_lname+N''''




--After:




SET@temp=N'select*fromauthorswhereau_lname='''




+REPLACE(@au_lname,'''','''''')+N''''

由数据截断启用的注入

如果分配给变量的任何动态Transact-SQL比为该变量分配的缓冲区大，那么它将被截断。如果攻击者能够通过将意外长度的字符串传递给存储过程来强制执行语句截断，则该攻击者可以操作该结果。例如，以下脚本创建的存储过程容易受到由截断启用的注入攻击。


CREATEPROCEDUREsp_MySetPassword




@loginnamesysname,




@oldsysname,




@newsysname




AS




--Declarevariable.




--Notethatthebufferhereisonly200characterslong.




DECLARE@commandvarchar(200)




--ConstructthedynamicTransact-SQL.




--Inthefollowingstatement,weneedatotalof154characters




--tosetthepasswordof'sa'.




--26forUPDATEstatement,16forWHEREclause,4for'sa',and2for




--quotationmarkssurroundedbyQUOTENAME(@loginname):




--200–26–16–4–2=154.




--Butbecause@newisdeclaredasasysname,thisvariablecanonlyhold




--128characters.




--Wecanovercomethisbypassingsomesinglequotationmarksin@new.




SET@command='updateUserssetpassword='+QUOTENAME(@new,'''')+'whereusername='+QUOTENAME(@loginname,'''')+'ANDpassword='+QUOTENAME(@old,'''')








--Executethecommand.




EXEC(@command)




GO





通过向128个字符的缓冲区传递154个字符，攻击者便可以在不知道旧密码的情况下为

sa

设置新密码。

EXECsp_MySetPassword'sa','dummy','123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012'''''''''''''''''''''''''''''''''''''''''''''''''''

因此，应对命令变量使用较大的缓冲区，或直接在EXECUTE语句内执行动态Transact-SQL。

使用QUOTENAME(@variable,'''')和REPLACE()时的截断

如果QUOTENAME()和REPLACE()返回的字符串超过了分配的空间，该字符串将被自动截断。以下示例中创建的存储过程显示了可能出现的情况。


CREATEPROCEDUREsp_MySetPassword




@loginnamesysname,




@oldsysname,




@newsysname




AS








--Declarevariables.




DECLARE@loginsysname




DECLARE@newpasswordsysname




DECLARE@oldpasswordsysname




DECLARE@commandvarchar(2000)








--Inthefollowingstatements,thedatastoredintempvariables




--willbetruncatedbecausethebuffersizeof@login,@oldpassword,




--and@newpasswordisonly128characters,butQUOTENAME()canreturn




--upto258characters.








SET@login=QUOTENAME(@loginname,'''')




SET@oldpassword=QUOTENAME(@old,'''')




SET@newpassword=QUOTENAME(@new,'''')








--ConstructthedynamicTransact-SQL.




--If@newcontains128characters,then@newpasswordwillbe'123...n




--wherenisthe127thcharacter.




--BecausethestringreturnedbyQUOTENAME()willbetruncated,




--itcanbemadetolooklikethefollowingstatement:




--UPDATEUsersSETpassword='1234...[127]WHEREusername='--otherstuffhere






SET@command='UPDATEUserssetpassword='+@newpassword




+'whereusername='+@login+'ANDpassword='+@oldpassword;








--Executethecommand.




EXEC(@command)




GO





因此，以下语句将把所有用户的密码都设置为在前面的代码中传递的值。


EXECsp_MyProc'--','dummy','12345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012345678901234567890123456789012345678'





使用REPLACE()时，可以通过超出分配的缓冲区空间来强迫字符串截断。以下示例中创建的存储过程显示了可能出现的情况。


CREATEPROCEDUREsp_MySetPassword




@loginnamesysname,




@oldsysname,




@newsysname




AS




--Declarevariables.




DECLARE@loginsysname




DECLARE@newpasswordsysname




DECLARE@oldpasswordsysname




DECLARE@commandvarchar(2000)




--Inthefollowingstatements,datawillbetruncatedbecause




--thebuffersallocatedfor@login,@oldpasswordand@newpassword




--canholdonly128characters,butQUOTENAME()canreturn




--upto258characters.








SET@login=REPLACE(@loginname,'''','''''')




SET@oldpassword=REPLACE(@old,'''','''''')




SET@newpassword=REPLACE(@new,'''','''''')








--ConstructthedynamicTransact-SQL.




--If@newcontains128characters,@newpasswordwillbe'123...n




--wherenisthe127thcharacter.




--BecausethestringreturnedbyQUOTENAME()willbetruncated,it




--canbemadetolooklikethefollowingstatement:




--UPDATEUsersSETpassword='1234…[127]WHEREusername='--otherstuffhere








SET@command='updateUserssetpassword='''+@newpassword+'''whereusername='''




+@login+'''ANDpassword='''+@oldpassword+'''';








--Executethecommand.




EXEC(@command)




GO





与QUOTENAME()一样，可以通过声明对所有情况都足够大的临时变量来避免由REPLACE()引起的字符串截断。应尽可能直接在动态Transact-SQL内调用QUOTENAME()或REPLACE()。或者，也可以按如下方式计算所需的缓冲区大小。对于

@outbuffer=QUOTENAME(@input)

，

@outbuffer

的大小应为

2*(len(@input)+1).

。使用REPLACE()和双引号时（如上一示例），大小为

2*len(@input)

的缓冲区便已足够。
以下计算涵盖所有情况：

Whilelen(@find_string)>0,requiredbuffersize=




round(len(@input)/len(@find_string),0)*len(@new_string)




+(len(@input)%len(@find_string))

使用QUOTENAME(@variable,']')时的截断

当SQLServer安全对象的名称被传递给使用

QUOTENAME(@variable,']')

形式的语句时，可能发生截断。以下代码显示了这一可能性。


CREATEPROCEDUREsp_MyProc




@schemanamesysname,




@tablenamesysname,




AS








--Declareavariableassysname.Thevariablewillbe128characters.




--But@objectnameactuallymustaccommodate2*258+1characters.




DECLARE@objectnamesysname




SET@objectname=QUOTENAME(@schemaname)+'.'+QUOTENAME(@tablename)








--Dosomeoperations.




GO





当您串联sysname类型的值时，应使用足够大的临时变量来保存每个值的最多128个字符。应尽可能直接在动态Transact-SQL内调用QUOTENAME()。或者，也可以按上一部分所述来计算所需的缓冲区大小。