防护针对SQL Server数据库的SQL注入攻击

SQL注入可能是最常见的攻击面向Internet的SQL Server数据库的方法。即使你对网络和防火墙进行了防护，只要应用程序存在漏洞，那么依然存在受攻击的可能。微软已经注意到最近针对使用ASP和ASP.NET网站的攻击数量呈上升趋势。这不仅会导致数据的失窃和丢失，在近期的很多案例中数据库中还被攻击者加入恶意javascript代码，这导致访问网站的客户电脑也会因此感染病毒。

防护针对您数据库的SQL注入攻击有如下的几种方法：

1. 使用双引号

使用双引号或其他符号替换您的用户的输入值。这种简单的预防措施能较为有效的防护相当多的SQL注入攻击。单引号经常被用于结束SQL表达式，使输入的内容获得不必要的权限。

代码如下：

string strSanitizedInput = strInput.Replace("'", "''");

注意：请记住即使你已经替换了单引号，攻击者也有可能绕过这个防护措施。

2. 避免动态SQL

动态SQL是动态查询的很好的工具，但这也会暴露脆弱点。很多情况下可以使用其他SQL语句或存储过程来代替动态SQL。当然，如果您在存储过程中依然通过用户输入来建立动态SQL查询，那么只靠替换还是不安全的。

较好的使用参数的SQL语句如下：

Code

使用procVerifyUser存储过程来验证用户是一种更好的方法：

Code

3. 验证所有的输入

永远不要信任用户的输入。

如果输入域中只能包含数字，那就需要验证用户输入的值是否只包含数字。如果允许输入字符，那么就需要检查是否有允许范围之外的字符。您的应用程序应该包含对诸如分号，等号，冒号，括号和SQL关键字的检查。.NET Framework提供常用的输入检查表达式来简化这个过程。限制用户输入的长度也是一种很好的方法。

您可以使用下列代码来检查输入值限于4-12位的数字，字母和下划线：

[\d_a-zA-Z]{4,12}

4. 最低权限原则

永远也不要在代码中用管理员级别权限的帐户来连接数据库。

应用程序使用的帐户应该只拥有应用程序需要的最低级别的权限。这也能将已入侵者造成的破坏降低到最低限度。应用程序不能已sa或其他管理员帐号连接数据库，而且应定义使用的帐号能访问的范围。

错误的使用系统管理员权限的代码如下：

<add key="CodeBad"

value="server=localhost;uid=sa;pwd=;database=northwind;" />

有限制的正确代码如下：

<add key="CodeGood"

value="server=localhost;uid=NWindReader;pwd=utbbeesozg4d;

database=northwind;" />