SQL Server: Sanitizing @param gegen Injection-Angriffe

Question

Aus Gründen der Argumentation, sagen wir einfach ich haben eine lokale Variable erstellen eine SQL-Abfrage enthält, die eine INSERT hat:

DECLARE @insert NVARCHAR(MAX) 
SELECT @insert = 'INSERT INTO [dbo].[' + @table + '] VALUES... 
EXEC (@insert) 

Diese INSERT ist auch geht auf einen Spaltenwert enthalten:

DECLARE @insert NVARCHAR(MAX) 
SELECT @insert = 
    'INSERT INTO [dbo].[' + @table + '] VALUES (N''' + @message + ''')' 
EXEC (@insert) 

Nun, ich bin über eine Injektions Angriff offensichtlich besorgt, und möchte, dass @ Nachricht Wert, um sicherzustellen, kann nicht @ Einsatz Wert böswillige oder fehlerhaft als eine Abfrage machen exec .

Das bringt uns zu meiner Frage: Entkommt die Zeichen in @Message ausreichend? Gibt es noch andere Zeichen, die in @message erscheinen könnten, die auslaufen könnten?

Beispiel:

DECLARE @insert NVARCHAR(MAX) 
SELECT @message = REPLACE(@message,'''','''''') 
SELECT @insert = 
    'INSERT INTO [dbo].[' + @table + '] VALUES (N''' + @message + ''')' 
EXEC (@insert) 

(Wenn ich sage „zu haben“, ist dies, weil meine Abfrage in einer gespeicherten Prozedur ist, und diese gespeicherte Prozedur akzeptiert @table, die die Zieltabelle einzufügen ist Ich bin nicht daran interessiert, meine Architektur zu diskutieren, oder warum die Tabelle, in die INSERT eingefügt werden soll, über einen Prozedurparameter "dynamisch" angegeben wird. Bitte beachten Sie , es sei denn, es gibt eine andere Möglichkeit als EXEC() eine Abfrage zur Angabe einer Tabelle INSERT, wenn dann der Tabellenname als Prozedurparameter empfangen wird.)

Answer 1

Verwenden Sie sp_executesql und das integrierte quotename(). Dieser Artikel, The Curse and Blessings of Dynamic SQL, ist so ziemlich die definitive Referenz.

Answer 2

Anstatt EXEC (@somesql) aufzurufen, empfehle ich die Verwendung der sp_executesql stored procedure. Insbesondere können Sie Parameter übergeben, und das System überprüft, ob die Parameter gültig sind.

Answer 3

Sie könnten die Schemainformationen zuerst mit regulärem T-SQL abfragen und sicherstellen, dass der Tabellenname zuerst existiert. Auf diese Weise wird SQL, wenn es falsch formatiert ist, nicht als Code ausgeführt. Es wird nur ein VARCHAR Tabellenname sein.

DECLARE @Table AS VARCHAR(MAX) 
DECLARE @Exists AS BIT 

SET @Table = 'Vicious malformed dynamic SQL' 

SELECT @Exists = COUNT(TABLE_NAME) 
FROM INFORMATION_SCHEMA.TABLES 
WHERE TABLE_NAME = @Table 

IF (@Exists = 1) 
    BEGIN 
    PRINT 'Table exists' 
    -- Execute dynamic SQL. 
    END 
ELSE 
    PRINT 'Invalid table' 

(Oder verwenden Sie einfach IF EXISTS (SELECT ....))

Answer 4

Offenbar gibt es eine 128-Längengrenze zu QUOTENAME(), auch im Jahr 2008 nach meinem Test, da es eine SQL erwartet Kennung. Die Referenz schlägt die Schaffung eine quotestring()-Funktion, die das gleiche tut wie:

REPLACE(@variable,'''','''''') 

Deshalb schlage ich, dass die Antwort ist eine Funktion aus der replace() oben zu schaffen, etwa so:

CREATE FUNCTION quotestring(@string nvarchar(MAX)) 
RETURNS nvarchar(MAX) AS 
BEGIN 
    RETURN(REPLACE(@string,'''','''''')) 
END 

... Es sei denn, ich habe etwas falsch verstanden.