如何避免SQL Server 2008 R2的SSRS中的SQL注入攻擊？

我需要防止用戶輸入可能導致數據庫故障的字符。我爲報告使用存儲過程。我需要驗證文本框參數的目的。任何人請指導我如何做到這一點。如何避免SQL Server 2008 R2的SSRS中的SQL注入攻擊？

2012-11-22 Harun

只是**總是**使用**參數化查詢**和**從不**將自己的SQL語句與用戶輸入連接起來並執行它們.... –

另請參閱：[MSDN如何：保護從SQL注入ASP.NET]（http://msdn.microsoft.com/en-us/library/ff648339.aspx）或[SQL注入攻擊和如何防止它們的一些技巧]（http：// www。 codeproject.com/Articles/9378/SQL-Injection-Attacks-and-Some-Tips-on-How-to-Prev），或者只是**谷歌**爲'防止SQL注入攻擊'，你會從字面上**成千上萬的點擊告訴你如何去做...... –

@marc_s，我使用參數化查詢，而不是在我的存儲過程中使用連接。所以你的意思是使用SSRS中的文本框來獲取參數值不會受到影響。 – Harun

限制訪問您的報告，其中可能
使用，只有有它需要
如果明智，限制用戶選擇下拉列表
如果您將報告封裝在像c＃這樣的編程語言中，則可以對輸入和參數化查詢使用驗證器。
如果您將ssrs參數直接傳遞給您的存儲過程並且擔心可能發生文本注入，請在利用SQL之前將該參數傳遞給SQL中的意外模式，即可以檢查期望格式爲的用戶標識「A3290RE」對於帶有CONTAINS的空間並通過LEN驗證其長度以防止用戶輸入「A3290RE」或名稱「％a％」。

來源

2012-11-23 12:10:36

如何避免SQL Server 2008 R2的SSRS中的SQL注入攻擊？

回答

相關問題