WEB开发网
开发学院网络安全安全技术 运用LINQ轻松清除SQL注入式攻击 阅读

运用LINQ轻松清除SQL注入式攻击

 2007-09-01 13:08:07 来源:WEB开发网   
核心提示: 如果这种攻击容易预防,那么为什么还如此危险呢?首先,运用LINQ轻松清除SQL注入式攻击(2),由于众所周知的经济上的原因,你的应用数据库是非常诱人的,因为这样实际上潜在地相信了用户输入,并直接将其发送给你的服务器,可以引起攻击者的极大注意,如果SQL注入漏洞在Web应用程序中可能存在着

如果这种攻击容易预防,那么为什么还如此危险呢?首先,由于众所周知的经济上的原因,你的应用数据库是非常诱人的,可以引起攻击者的极大注意。如果SQL注入漏洞在Web应用程序中可能存在着,那么对于一个攻击者来说是很容易检测到的,然后就可以利用它。很显然,即使SQL注入错误并不是开发人员最经常犯的错误,它们也很容易被发现和利用。

检测SQL注入漏洞的一个简单方法是在一次输入中插入一个元字符(meta-character),一个应用程序会用这个字符生成一个数据库访问语句。例如,在任何包含一个搜索输入栏的Web站点上,一个攻击者可以输入一个数据库元字符,例如一个核对符号(),然后单击“搜索”按钮提交输入。如果应用程序返回一个数据库错误消息,攻击者不但会知道他已经发现了一个应用程序的数据库驱动部分,而且他还能注入更加有意义的命令,让你的服务器执行它们。应用程序安全研究员Michael Sutton近来强调,发现那些易于受到SQL攻击的站点是很容易的。他说,使用Google搜索API这种方法只需几分钟就可以确定大量的潜在的易受攻击的站点。

对SQL注入的剖析

这里我们给出一个SQL注入的例子来说明两个问题,一是SQL注入这种错误是很容易犯的,二是只要进行严格的程序设计,这种错误是很容易预防的。

这个示例用的Web应用程序包含一个名为SQLInjection.aspx简单的客户搜索页面,这个页面易于受到SQL注入攻击。此页面包含一个CompanyName的输入服务器控件,还有一个数据表格控件,用于显示从微软的示例数据库Northwind的搜索结果(这个数据库可从SQL Server 2005中找到)。在搜索期间执行的这个查询包含一个应用程序设计中很普通的错误:它动态地从用户提供的输入中生成查询。这是Web应用程序数据访问中的一个主要的错误,因为这样实际上潜在地相信了用户输入,并直接将其发送给你的服务器。在从“搜索”的单击事件启动时,这个查询看起来是这个样子:

上一页  1 2 3 4 5 6  下一页

Tags:运用 LINQ 轻松

编辑录入:爽爽 [复制链接] [打 印]
赞助商链接