沒有輸入域的C＃控制檯應用程序可以被SQL注入

Question

我有一個目標文件，並執行SQL查詢和其他的東西..基本上是一個服務器控制檯應用程序。但是，它沒有任何孩子的文本輸入字段。它仍然被注入？

Answer 1

只有當它的讀取命令行參數或解釋其他外部輸入（外部文件） - 否則，沒有。

Answer 2

如果你不使用參數化查詢，還是有SQL注入的任何動態生成的SQL查詢的潛力。

如果您動態構建它，這意味着數據來自某處。也許是文件，系統調用，命令行參數或互聯網調用。如果輸入源可能被破壞，則SQL注入是可能的。

Answer 3

是的。

如果對任何來源的攻擊者控制的數據進行操作，但仍然可以攻擊。

例如：

• 如果它接受的URL，攻擊者可以添加或修改惡意查詢字符串參數
• 如果它運行在數據庫中存在的數據，攻擊者可以嘗試通過其他應用程序
來設置數據

Answer 4

是 - 如果有什麼在網絡上傳輸，很容易在中間人攻擊。如果一切都包含在一臺機器上，那麼可能性要小得多;但是，它仍然是非常可能的。

Answer 5

這取決於你如何在控制檯應用程序中使用SQL查詢，如果SQL查詢未服用任何輸入命令行輸入或文件輸入或任何輸入，那麼有沒有注射。