.Net防sql注入的幾種方法
防sql注入的常用方法:
1、服務(wù)端對(duì)前端傳過(guò)來(lái)的參數(shù)值進(jìn)行類型驗(yàn)證;
2、服務(wù)端執(zhí)行sql,使用參數(shù)化傳值,而不要使用sql字符串拼接;
3、服務(wù)端對(duì)前端傳過(guò)來(lái)的數(shù)據(jù)進(jìn)行sql關(guān)鍵詞過(guò)來(lái)與檢測(cè);
著重記錄下服務(wù)端進(jìn)行sql關(guān)鍵詞檢測(cè):
1、sql關(guān)鍵詞檢測(cè)類:
public class SqlInjectHelper:System.Web.UI.Page { private static string StrKeyWord = "select|insert|delete|from|count(|drop table|update|truncate|asc(|mid(|char(|xp_cmdshell|exec|master|net local group administrators|net user|or|and"; private static string StrSymbol = ";|(|)|[|]|{|}|%|@|*|'|!"; private HttpRequest request; public SqlInjectHelper(System.Web.HttpRequest _request) { this.request = _request; } public bool CheckSqlInject() { return CheckRequestQuery() || CheckRequestForm(); } ///<summary> ///檢查URL中是否包含Sql注入 /// <param name="_request">當(dāng)前HttpRequest對(duì)象</param> /// <returns>如果包含sql注入關(guān)鍵字,返回:true;否則返回:false</returns> ///</summary> public bool CheckRequestQuery() { if (request.QueryString.Count > 0) { foreach (string sqlParam in this.request.QueryString) { if (sqlParam == "__VIEWSTATE") continue; if (sqlParam == "__EVENTVALIDATION") continue; if (CheckKeyWord(request.QueryString[sqlParam].ToLower())) { return true; } } } return false; } ///<summary> ///檢查提交的表單中是否包含Sql注入關(guān)鍵字 /// <param name="_request">當(dāng)前HttpRequest對(duì)象</param> /// <returns>如果包含sql注入關(guān)鍵字,返回:true;否則返回:false</returns> ///</summary> public bool CheckRequestForm() { if (request.Form.Count > 0) { foreach (string sqlParam in this.request.Form) { if (sqlParam == "__VIEWSTATE") continue; if (sqlParam == "__EVENTVALIDATION") continue; if (CheckKeyWord(request.Form[sqlParam])) { return true; } } } return false; } ///<summary> ///檢查字符串中是否包含Sql注入關(guān)鍵字 /// <param name="_key">被檢查的字符串</param> /// <returns>如果包含sql注入關(guān)鍵字,返回:true;否則返回:false</returns> ///</summary> private static bool CheckKeyWord(string _key) { string[] pattenKeyWord = StrKeyWord.Split('|'); string[] pattenSymbol = StrSymbol.Split('|'); foreach (string sqlParam in pattenKeyWord) { if (_key.Contains(sqlParam + " ") || _key.Contains(" " + sqlParam)) { return true; } } foreach (string sqlParam in pattenSymbol) { if (_key.Contains(sqlParam)) { return true; } } return false; } }
SqlInjectHelper類中,對(duì)request的query參數(shù)和form參數(shù)進(jìn)行的檢測(cè),沒(méi)有對(duì)cookie的檢測(cè),如有需要,可自行加上;
2、SqlInjectHelper在哪調(diào)用呢?
1)、如果想對(duì)整個(gè)web站點(diǎn)的所有請(qǐng)求都做sql關(guān)鍵字檢測(cè),那就在Global.asax 的 Application_BeginRequest方法中調(diào)用;
protected void Application_BeginRequest(object sender, EventArgs e) { SqlInjectHelper myCheck = new SqlInjectHelper(Request); bool result = myCheck.CheckSqlInject(); if (result) { Response.ContentType = "text/plain"; Response.Write("您提交的數(shù)據(jù)有惡意字符!"); Response.End(); } }
2)、如果只需對(duì)某個(gè)接口文件的接口進(jìn)行sql關(guān)鍵字檢測(cè),那只需在該文件開(kāi)始處調(diào)用SqlInjectHelper類即可;
public class Handler1 : IHttpHandler { public void ProcessRequest(HttpContext context) { SqlInjectHelper myCheck = new SqlInjectHelper(context.Request); bool result = myCheck.CheckSqlInject(); context.Response.ContentType = "text/plain"; context.Response.Write(result?"您提交的數(shù)據(jù)有惡意字符!":""); context.Response.StatusCode = result ? 500 : 200; } public bool IsReusable { get { return false; } } }
上面的代碼就是對(duì)某個(gè)一般處理程序(ashx)添加了sql關(guān)鍵字檢測(cè);
3、補(bǔ)充說(shuō)明:asp.net中的 __VIEWSTATE、__EVENTVALIDATION、
在sql關(guān)鍵字檢測(cè)方法中,排除了__VIEWSTATE、__EVENTVALIDATION這兩個(gè)參數(shù);
1)、__VIEWSTATE
ViewState是ASP.NET中用來(lái)保存WEB控件回傳時(shí)狀態(tài)值一種機(jī)制。在WEB窗體(FORM)的設(shè)置為runat="server",這個(gè)窗體(FORM)會(huì)被附加一個(gè)隱藏的屬性_VIEWSTATE。_VIEWSTATE中存放了所有控件在ViewState中的狀態(tài)值。
ViewState是類Control中的一個(gè)域,其他所有控件通過(guò)繼承Control來(lái)獲得了ViewState功能。它的類型是system.Web.UI.StateBag,一個(gè)名稱/值的對(duì)象集合。
當(dāng)請(qǐng)求某個(gè)頁(yè)面時(shí),ASP.NET把所有控件的狀態(tài)序列化成一個(gè)字符串,然后做為窗體的隱藏屬性送到客戶端。當(dāng)客戶端把頁(yè)面回傳時(shí),ASP.NET分析回傳的窗體屬性,并賦給控件對(duì)應(yīng)的值;
2)、__EVENTVALIDATION
__EVENTVALIDATION只是用來(lái)驗(yàn)證事件是否從合法的頁(yè)面發(fā)送,只是一個(gè)數(shù)字簽名,所以一般很短。
“id”屬性為“__EVENTVALIDATION”的隱藏字段是ASP.NET 2.0的新增的安全措施。該功能可以阻止由潛在的惡意用戶從瀏覽器端發(fā)送的未經(jīng)授權(quán)的請(qǐng)求.;
4、sql關(guān)鍵詞檢測(cè)的另一個(gè)版本:該版本將所有危險(xiǎn)字符都放在了一個(gè)正則表達(dá)式中;
該類不僅檢測(cè)了sql常用關(guān)鍵字還有xss攻擊的常用關(guān)鍵字
public class SafeHelper { private const string StrRegex = @"<[^>]+?style=[\w]+?:expression\(|\b(alert|confirm|prompt)\b|^\+/v(8|9)|<[^>]*?=[^>]*?&#[^>]*?>|\b(and|or)\b.{1,6}?(=|>|<|\bin\b|\blike\b)|/\*.+?\*/|<\s*script\b|<\s*img\b|\bEXEC\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\s+(TABLE|DATABASE)"; public static bool PostData() { bool result = false; for (int i = 0; i < HttpContext.Current.Request.Form.Count; i++) { result = CheckData(HttpContext.Current.Request.Form[i].ToString()); if (result) { break; } } return result; } public static bool GetData() { bool result = false; for (int i = 0; i < HttpContext.Current.Request.QueryString.Count; i++) { result = CheckData(HttpContext.Current.Request.QueryString[i].ToString()); if (result) { break; } } return result; } public static bool CookieData() { bool result = false; for (int i = 0; i < HttpContext.Current.Request.Cookies.Count; i++) { result = CheckData(HttpContext.Current.Request.Cookies[i].Value.ToLower()); if (result) { break; } } return result; } public static bool referer() { bool result = false; return result = CheckData(HttpContext.Current.Request.UrlReferrer.ToString()); } public static bool CheckData(string inputData) { if (Regex.IsMatch(inputData, StrRegex)) { return true; } else { return false; } } }
總結(jié)
以上就是這篇文章的全部?jī)?nèi)容了,希望本文的內(nèi)容對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,謝謝大家對(duì)腳本之家的支持。
相關(guān)文章
asp.net利用反射實(shí)現(xiàn)給model類賦值的方法
這篇文章主要介紹了asp.net利用反射實(shí)現(xiàn)給model類賦值的方法,結(jié)合實(shí)例形式分析了asp.net使用反射給model類賦值的操作步驟與相關(guān)操作技巧,需要的朋友可以參考下2017-03-03對(duì)Entity?Framework?Core進(jìn)行單元測(cè)試
這篇文章介紹了對(duì)Entity?Framework?Core進(jìn)行單元測(cè)試的方法,文中通過(guò)示例代碼介紹的非常詳細(xì)。對(duì)大家的學(xué)習(xí)或工作具有一定的參考借鑒價(jià)值,需要的朋友可以參考下2022-03-03asp.net防止刷新時(shí)重復(fù)提交(可禁用工具條刷新按鈕)
前段時(shí)間遇到了需要禁用刷新的需求,f5按鈕就不說(shuō)了,簡(jiǎn)單的js就能把它禁用,但是工具條上的刷新按鈕卻防止不了啊,不過(guò)本文介紹的一種方法卻可以解決此問(wèn)題,感興趣的朋友可以了解下啊,希望本文對(duì)你有所幫助2013-01-01ASP.NET Core項(xiàng)目結(jié)構(gòu)教程(4)
這篇文章主要為大家詳細(xì)介紹了ASP.NET Core項(xiàng)目結(jié)構(gòu),具有一定的參考價(jià)值,感興趣的小伙伴們可以參考一下2017-06-06ASP.NET使用My97DatePicker日期控件實(shí)例
這篇文章主要為大家詳細(xì)介紹了ASP.NET使用My97DatePicker日期控件實(shí)例,如何使用My97DatePicker日期控件,本文為大家介紹,感興趣的小伙伴們可以參考一下2016-04-04基于nopCommerce的開(kāi)發(fā)框架 附源碼
這篇文章主要為大家詳細(xì)介紹了基于nopCommerce的開(kāi)發(fā)框架,具有一定的參考價(jià)值,感興趣的小伙伴們可以參考一下2017-05-05