ASP.NET防SQL注入方法のParameters属性传参 && LING技术

 

在判断用户输入的用户名和密码是否和数据库中的相同时，更需要注意的就是SQL注入式攻击，

SQL注入式攻击是指利用设计上的漏洞，在目标服务器上运行SQL命令以及进行其他方式的攻击。

下面是一个简单的例子：

在登录的时候，我在用户名一栏输入℉бrrest，那么所执行的SQL语句就是：

SELECT COUNT(*) FROM db_student WHERE StuUserName='℉бrrest';

通过上面的语句可以在数据库中查询中一条StuUserName字段名为℉бrrest的用户信息，

但是如果我在文本框中输入℉бrrest or ’1′=’1′，

这样我们再来执行SQL语句：

SELECT COUNT(*) FROM db_student WHERE StuUserName='℉бrrest' OR '1'='1';

这样一条SQL语句就能够查找出db_student表中的所有记录，这就是传说中的SQL注入。

接下来介绍两种防止SQL注入式攻击的方法：

方法一、使用SqlCommand.Parameters属性传参过滤非法字符。一个简单登录页面事例代码：

            SqlConnection Con = new SqlConnection(ConfigurationManager.AppSettings["conStr"]);//连接字符串
            Con.Open();//打开数据库
            string strlogin = "select count(*) from tb_student where StuUsername=@name and StuPassword=@pwd";
            SqlCommand com = new SqlCommand(strlogin, Con);//创建SqlCommand对象
 
            com.Parameters.Add(new SqlParameter("@name", SqlDbType.NVarChar, 50));//设置参数名，类型，长度
            com.Parameters["@name"].Value = TextBox1.Text;//设置参数值
            com.Parameters.Add(new SqlParameter("@pwd", SqlDbType.NVarChar, 50));
            com.Parameters["@pwd"].Value = TextBox2.Text;
 
            if (Convert.ToInt32(com.ExecuteScalar()) > 0)
            {
                Response.Write("<script>alert('登录成功！')</script>");
                Response.Redirect("stu_award.aspx");
            }
            else
            {
                Response.Write("<script>alert('用户名或密码错误，请重新输入！')</script>");
                TextBox1.Text = "";
                TextBox2.Text = "";
                TextBox3.Text = "";
            }

方法二、使用LING防止SQL注入式攻击

LING to SQL在用户数据存取时，清除了SQL注入式攻击的存在，LING在每次执行查询时都加上了具体的参数，

例如我依然是在文本框中输入℉бrrest or ’1′=’1′，则LING会产生以下语句：

SELECT [t0].[StuUserName],[t0].[StuPassword],
 
FROM [dbo].[tb_student] AS [t0]
 
WHERE [t0].[StuUserName]=@p0

可以看出，WHERE子句被自动加上了参数，跟第一种方法原理类似，下面是一段事例代码：

protected void Button1_Click(object sender, EventArgs e)
    {
        string name = TextBox1.Text;//获取登录名
        string pass = TextBox2.Text;//获取密码
        LinqDataDataContext ldc=new LinqDataDataContext();//创建LINQ对象
        //创建LINQ查询语句，查询到满足指定登录名和密码的用户
        var result = from v in ldc.userManage
                     where v.StuUsername == name && v.StuPassword == pass
                     select v;
        if (result.Count() > 0)//查询到指定用户
        {
            RegisterStartupScript("", "<script>alert('登录成功！')</script>");
        }
        else   //未查询到指定用户
        {
            RegisterStartupScript("", "<script>alert('登录失败！')</script>");
        }
    }