此查詢是否存在SQL注入風險？如果是這樣，我該如何避免它？

Question

我通常會創建參數化查詢以避免SQL注入攻擊。不過，我有這個特殊的情況下，我還沒有完全能夠做到這一點：

public DataSet getLiveAccountingDSByParameterAndValue(string parameter, string value) 
{ 
    string sql = "select table_ref as Source, method as Method, sip_code as Code, " + 
     " from view_accountandmissed " + 
     " where " + parameter + " like @value " + 
     " order by time DESC "; 
    MySqlCommand cmd = commonDA.createCommand(sql); 
    cmd.Parameters.Add("@value", MySqlDbType.String); 
    cmd.Parameters["@value"].Value = "%" + value + "%"; 

    MySqlDataAdapter objDA = commonDA.createDataAdapter(cmd); 
    DataSet objDS = new DataSet(); 
    objDA.Fill(objDS); 
    return objDS; 
} 

正如你所看到的，我創建@value作爲參數，但如果我試圖做同樣的參數查詢將失敗。

那麼，這個查詢是否存在SQL注入的風險？另外，考慮到參數由設置DropDownList的SelectedValue（不是TextBox，所以輸入是有限的）。如果是這樣，我該如何改進這個查詢？

Answer 1

是的，有：

" where " + parameter + " like @value " + 

參數的值是你的風險。在回發中，您應該檢查所選值是否在下拉列表的一組起始值中。

使該參數成爲枚舉並將枚舉傳遞給函數。這將消除風險（喜歡的東西：未測試）：

public DataSet getLiveAccountingDSByParameterAndValue(ParameterEnum parameter, string value) 
..... 
    " where " + parameter.ToString() + " like @value " + 

的ParameterEnum包含在下拉列表中的所有可能值的列表。在您的代碼後面，將選定的值解析爲枚舉。

Answer 2

So, is there a risk of SQL Injection with this query?

我想是的，它很容易被SQL注入。例如，參數 = 「1 = 1 OR值」

Also, take into account that parameter is set by a DropDownList's SelectedValue (not a TextBox, so the input is limited)

其實並不重要。惡意用戶可以在可執行文件本身或網絡數據包上注入任何值（並因此發送DropDown上不存在的值）。

If so, how can I improve this query?

您應該檢查參數參數，並與下拉值進行比較。對於更通用的數據，我認爲應該有庫來檢查這些事情（但我沒有C＃的想法......）。

Answer 3

var columns = new [] {"column1", column2", ....}; 
if (!columns.Contains(parameter)) 
    return or do something else 

編輯
唯一的SQL注入風險是在傳遞列名稱，其中使用字符串連接子句。沒有其他辦法。真正的盾牌是檢查列名是否有效，它存在於表中。
即使ASP .Net有事件驗證（檢查發佈的值是其中一個下拉列表），您無法基於此，因爲可以禁用此保護。
與like一起使用的參數不是SQL注入對象

Answer 4

由於ASP.NET自動驗證回發和回調參數以查看它們是否有所不同。所以這是一個很好的例子，它對EnableEventValidation有用。

http://odetocode.com/blogs/scott/archive/2006/03/20/asp-net-event-validation-and-invalid-callback-or-postback-argument.aspx

你會得到那麼以下情況除外：

"Invalid postback or callback argument"

你可以確保它的設置爲 true在頁面的 Init事件明確地將其設置在代碼隱藏，例如：

protected void Page_Init(object sender, EventArgs e) 
{ 
    // don't remove this 
    Page.EnableEventValidation = True; 
} 

編輯：哎呀，其實這個設置不能從代碼隱藏的改變，但編譯，但會引發以下運行時錯誤：

The 'EnableEventValidation' property can only be set in the page directive or in the configuration section.