English
 电子信箱
 加入收藏

  威盾防火墙 >> 新闻中心 >> 威盾新闻 >> 网站安全性：C#防SQL注入代码的实现方法
 

网站安全性：C#防SQL注入代码的实现方法

威盾防火墙 2015-02-17
 

对于网站的安全性，是每个网站开发者和运营者最关心的问题。网站一旦出现漏洞，那势必将造成很大的损失。为了提高网站的安全性，首先网站要防注入，最重要的是服务器的安全设施要做到位。

下面说下网站防注入的几点要素。

一：丢弃SQL语句直接拼接，虽然这个写起来很快很方便。

二：如果用SQL语句，那就使用参数化，添加Param

三：尽可能的使用存储过程，安全性能高而且处理速度也快

四：屏蔽SQL，javascript等注入（很是主要的），对于每个文件写是不太可能的。所以要找到对所有文件起作用的办法。我在网上收集了以下3种方法

C#防SQL注入方法一

在Web.config文件中， < appSettings>下面增加一个标签：如下

    
    
  1. < appSettings>   
    2. 
    
  2. < add key="safeParameters" value="OrderID-int32,CustomerEmail-email,ShippingZipcode-USzip" />   
    3. 
    
  3. < /appSettings>  
    4.

其中key是 < saveParameters>后面的值为"OrderId-int32"等，其中"-"前面表示参数的名称比如：OrderId，后面的int32表示数据类型。

C#防SQL注入方法二

在Global.asax中增加下面一段：  

    
    
  1. protected void Application_BeginRequest(Object sender, EventArgs e){   
    2. 
    
  2. String[] safeParameters = System.Configuration.ConfigurationSettings.AppSettings["safeParameters"].ToString().Split(',');   
    3. 
    
  3. for(int i= 0 ;i <  safeParameters.Length; i++){   
    4. 
    
  4. String parameterName = safeParameters[i].Split('-')[0];   
    5. 
    
  5. String parameterType = safeParameters[i].Split('-')[1];   
    6. 
    
  6. isValidParameter(parameterName, parameterType);   
    7. 
    
  7. }   
    8. 
    
  8. }   
    9. 
    
  9.  
    10. 
    
  10. public void isValidParameter(string parameterName, string parameterType){   
    11. 
    
  11. string parameterValue = Request.QueryString[parameterName];   
    12. 
    
  12. if(parameterValue == null) return;   
    13. 
    
  13.  
    14. 
    
  14. if(parameterType.Equals("int32")){   
    15. 
    
  15. if(!parameterCheck.isInt(parameterValue)) Response.Redirect("parameterError.aspx");   
    16. 
    
  16. }   
    17. 
    
  17. else if (parameterType.Equals("USzip")){   
    18. 
    
  18. if(!parameterCheck.isUSZip(parameterValue)) Response.Redirect("parameterError.aspx");   
    19. 
    
  19. }   
    20. 
    
  20. else if (parameterType.Equals("email")){   
    21. 
    
  21. if(!parameterCheck.isEmail(parameterValue)) Response.Redirect("parameterError.aspx");   
    22. 
    
  22. }   
    23. 
    
  23. }  
    24.

C#防SQL注入方法三

使用字符串过滤类

    
    
  1. using System;  
    2. 
    
  2.  
    3. 
    
  3. namespace web.comm  
    4. 
    
  4. {  
    5. 
    
  5.     /**//// < summary>  
    6. 
    
  6.     /// ProcessRequest 的摘要说明。  
    7. 
    
  7.     /// < /summary>  
    8. 
    
  8.     public class ProcessRequest  
    9. 
    
  9.     {  
    10. 
    
  10.         public ProcessRequest()  
    11. 
    
  11.         {  
    12. 
    
  12.             //  
    13. 
    
  13.             // TODO: 在此处添加构造函数逻辑  
    14. 
    
  14.             //  
    15. 
    
  15.         }  
    16. 
    
  16.  
    17. 
    
  17.         SQL注入式攻击代码分析#region SQL注入式攻击代码分析  
    18. 
    
  18.         /**//// < summary>  
    19. 
    
  19.         /// 处理用户提交的请求  
    20. 
    
  20.         /// < /summary>  
    21. 
    
  21.         public static void StartProcessRequest()  
    22. 
    
  22.         {  
    23. 
    
  23.               
    24. 
    
  24. //            System.Web.HttpContext.Current.Response.Write("< script>alert('dddd');< /script>");  
    25. 
    
  25.             try 
    26. 
    
  26.             {  
    27. 
    
  27.                 string getkeys = "";  
    28. 
    
  28.                 //string sqlErrorPage = System.Configuration.ConfigurationSettings.AppSettings["CustomErrorPage"].ToString();  
    29. 
    
  29.                 if (System.Web.HttpContext.Current.Request.QueryString != null)  
    30. 
    
  30.                 {  
    31. 
    
  31.       
    32. 
    
  32.                     for(int i=0;i< System.Web.HttpContext.Current.Request.QueryString.Count;i++)  
    33. 
    
  33.                     {  
    34. 
    
  34.                         getkeys = System.Web.HttpContext.Current.Request.QueryString.Keys[i];  
    35. 
    
  35.                         if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.QueryString[getkeys],0))  
    36. 
    
  36.                         {  
    37. 
    
  37.                             //System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage+"?errmsg=sqlserver&sqlprocess=true");  
    38. 
    
  38.                             System.Web.HttpContext.Current.Response.Write("< script>alert('请勿非法提交！');history.back();< /script>");  
    39. 
    
  39.                             System.Web.HttpContext.Current.Response.End();  
    40. 
    
  40.                         }  
    41. 
    
  41.                     }  
    42. 
    
  42.                 }  
    43. 
    
  43.                 if (System.Web.HttpContext.Current.Request.Form != null)  
    44. 
    
  44.                 {  
    45. 
    
  45.                     for(int i=0;i< System.Web.HttpContext.Current.Request.Form.Count;i++)  
    46. 
    
  46.                     {  
    47. 
    
  47.                         getkeys = System.Web.HttpContext.Current.Request.Form.Keys[i];  
    48. 
    
  48.                         if (!ProcessSqlStr(System.Web.HttpContext.Current.Request.Form[getkeys],1))  
    49. 
    
  49.                         {  
    50. 
    
  50.                             //System.Web.HttpContext.Current.Response.Redirect (sqlErrorPage+"?errmsg=sqlserver&sqlprocess=true");  
    51. 
    
  51.                             System.Web.HttpContext.Current.Response.Write("< script>alert('请勿非法提交！');history.back();< /script>");  
    52. 
    
  52.                             System.Web.HttpContext.Current.Response.End();  
    53. 
    
  53.                         }  
    54. 
    
  54.                     }  
    55. 
    
  55.                 }  
    56. 
    
  56.             }  
    57. 
    
  57.             catch 
    58. 
    
  58.             {  
    59. 
    
  59.                 // 错误处理: 处理用户提交信息!  
    60. 
    
  60.             }  
    61. 
    
  61.         }  
    62. 
    
  62.         /**//// < summary>  
    63. 
    
  63.         /// 分析用户请求是否正常  
    64. 
    
  64.         /// < /summary>  
    65. 
    
  65.         /// < param name="Str">传入用户提交数据< /param>  
    66. 
    
  66.         /// < returns>返回是否含有SQL注入式攻击代码< /returns>  
    67. 
    
  67.         private static bool ProcessSqlStr(string Str,int type)  
    68. 
    
  68.         {  
    69. 
    
  69.             string SqlStr;  
    70. 
    
  70.  
    71. 
    
  71.             if(type == 1)  
    72. 
    
  72.                 SqlStr = "exec |insert |select |delete |update |count |chr |mid |master |truncate |char |declare ";  
    73. 
    
  73.             else 
    74. 
    
  74.                 SqlStr = "'|and|exec|insert|select|delete|update|count|*|chr|mid|master|truncate|char|declare";  
    75. 
    
  75.  
    76. 
    
  76.             bool ReturnValue = true;  
    77. 
    
  77.             try 
    78. 
    
  78.             {  
    79. 
    
  79.                 if (Str != "")  
    80. 
    
  80.                 {  
    81. 
    
  81.                     string[] anySqlStr = SqlStr.Split('|');  
    82. 
    
  82.                     foreach (string ss in anySqlStr)  
    83. 
    
  83.                     {  
    84. 
    
  84.                         if (Str.IndexOf(ss)>=0)  
    85. 
    
  85.                         {  
    86. 
    
  86.                             ReturnValue = false;  
    87. 
    
  87.                         }  
    88. 
    
  88.                     }  
    89. 
    
  89.                 }  
    90. 
    
  90.             }  
    91. 
    
  91.             catch 
    92. 
    
  92.             {  
    93. 
    
  93.                 ReturnValue = false;  
    94. 
    
  94.             }  
    95. 
    
  95.             return ReturnValue;  
    96. 
    
  96.         }  
    97. 
    
  97.         #endregion  
    98. 
    
  98.  
    99. 
    
  99.     }  
    100. 
    
  100. } 
    101.
相关内容： 最新内容：
应用IDS防止SQL注入攻击[2015-02-16]
再遭黑客SQL注入攻击 索尼或已疲软[2015-02-16]
GreenSQL助力防止SQL注入攻击[2015-02-16]
SQL注入攻击再度肆虐殃及大量网站[2015-02-16]
解析阻止或减轻SQL注入攻击实用招数[2015-02-16]
对JSP防范SQL注入攻击的描述[2015-02-16]
 黑客经验交流:防注入代码[2015-02-17]
数据库防脚本注入[2015-02-17]
浅析黑客如何入侵企业网络[2015-02-17]
JSP防注入代码[2015-02-17]
应用IDS防止SQL注入攻击[2015-02-16]
再遭黑客SQL注入攻击 索尼或已疲软[2015-02-16]