SQL注入漏洞

Question

我們有一個ASP.NET/C#網站。我們的開發人員在亞洲離岸，我剛剛發現他們已經在網站前端放置了原始SQL。

我很擔心我們現在很容易受到SQL注入攻擊。有誰知道我如何檢測網站上的漏洞，以及關閉這些漏洞的最佳方式是什麼？

Answer 1

試圖從正面可能幫助檢測漏洞，但真的，你應該看看代碼，尤其是所有與DbCommand，SqlCommand等有關的代碼。關鍵點，正如你清楚的知道的，絕不會把用戶輸入連接到一個查詢中，而是將它們參數化。可以使這個參數設置變得容易 - 或者至少比手動操作更容易。例如，如果您有：

using(var cmd = conn.CreateCommand()) { 
    cmd.CommandText = "delete from Orders where id = " + id; 
    cmd.ExecuteNonQuery(); 
} 

然後像短小精悍點網工具可以讓你做這樣的事情：

conn.Execute("delete from Orders where id = @id", new {id}); 

這是少代碼，很大程度上是複製粘貼，而是完全注射安全，並允許查詢 - 計劃重用。

Answer 2

先看看這篇文章：How To: Protect From SQL Injection in ASP.NET

我會確保所有你要麼使用存儲過程exlusively或者如果你有regualr SQL命令你使用它們只與paramters永不動態構建CommandText property

的內容

Answer 3

看一看Scrawlr或Acunetix

這些工具來掃描漏洞的網站，特別是SQL注入。另一種方式是註冊一家PCI-DSS合規公司。我們使用SecurityMetrics，通常銀行爲這些提供折扣。

Answer 4

嗯，我會命令他們向您發送的源代碼並執行代碼視圖（或有一個由相對experiend開發完成。