5

Одним из способов предотвращения SQL-инъекций считается применение параметризованных запросов, вместо прямой подстановки пользовательских данных в запрос, например:

private static void UpdateDemographics(Int32 customerID,
string demoXml, string connectionString)
{
    // Update the demographics for a store, which is stored 
    // in an xml column. 
    string commandText = "UPDATE Sales.Store SET Demographics = @demographics "
        + "WHERE CustomerID = @ID;";

    using (SqlConnection connection = new SqlConnection(connectionString))
    {
        SqlCommand command = new SqlCommand(commandText, connection);
        command.Parameters.Add("@ID", SqlDbType.Int);
        command.Parameters["@ID"].Value = customerID;

        // Use AddWithValue to assign Demographics.
        // SQL Server will implicitly convert strings into XML.
        command.Parameters.AddWithValue("@demographics", demoXml);

        try
        {
            connection.Open();
            Int32 rowsAffected = command.ExecuteNonQuery();
            Console.WriteLine("RowsAffected: {0}", rowsAffected);
        }
        catch (Exception ex)
        {
            Console.WriteLine(ex.Message);
        }
    }
}

То есть имеется некий запрос, в который мы передаём полученные впоследствии от пользователя параметры. Но чем такой способ отличается от непосредственной подстановки в запрос параметров пользователя? Ведь мы по-прежнему можем поместить код-инъекцию в @ID, передав таким образом запрос на выполнение. В чем принципиальное преимущество?

1 ответ 1

6

Если выполняется честный prepare, то текст запроса передаётся отдельно, а данные для него - отдельно, по специальному протоколу ("привет, выполни тот запрос, первый параметр для него - это следующие 8 байт, а второй - следующие 20"). Данные в запрос никогда не подставляются и сервер в принципе не может перепутать данные и запрос.

Если выполняется эмуляция подготовленного запроса - то код библиотеки, выполняющей запрос, берёт на себя ответственность за корректное экранирование всех подставляемых данных.

Выполняется честный prepare или его эмуляция - надо выяснять для конкретной библиотеки (возможно, это отдельная настройка конфигурации библиотеки). Но если используется что-то общеизвестное, стандартное и актуальной версии - то оба варианта достаточно безопасны.

2
  • ок, как я понял, во втором случае библиотека берёт на себя ответственность за обеззараживание, экранирование и прочее. Но в первом случае ("привет, выполни тот запрос, первый параметр для него - это следующие 8 байт, а второй - следующие 20") - что если 8 и 20 бит кода - это инъекция?
    – aryndin
    31 мар 2016 в 19:13
  • 1
    Ну и что? Там могут быть любые, хоть даже чисто бинарные, данные. СУБД знает, что это данные, а не запрос - значит даже не будет пытаться их интерпретировать как запрос. 31 мар 2016 в 19:16

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.