微软的“不禁止即允许(Not forbidden is allow)”的做法使得操作系统像是服务器所穿的镂空礼物一样，美观但却有很多“漏洞”。好了，现在此小黑已经拥有了服务器的管理员权限，很显然元芳怎么看已经不重要了。
3.如何防止SQL注入的发生
滴答的雨已经在博文详细阐述了SQL Server数据库如何进行防注入的操作，这里不再赘述。这一篇我主要说一下对于一个使用拼接SQL进行查询操作的Web应用，怎么进行防注入操作。
先说一些前提，为什么我们要使用拼接SQL的方式进行查询？偷懒呗。这在开发过程中，看似省去了编写参数化部分的代码量，节省了时间和精力。但这样做的结果就是应用的安全性大打折扣，而且拼SQL方式创建的应用，后期的维护难度也很大。SQL参数化查询是最简单有效的避免SQL注入的解决方案，目前主流的ORM框架（MyBatis.NET/NHibernate/EntityFramework）都内置支持并且推荐使用这种方式进行持久层封装。
然而有数据库不支持参数化查询怎么办？是的，你没有看错，确实有这样的数据库存在。吐个槽先，个人认为，一切不支持参数化查询的数据库都是在“耍流氓”，这种天然的缺陷会让小黑们肆无忌惮地去“非礼”服务器，至少是数据库本身。在这样的情况下，我觉得其他功能做得再好也只能算是花拳绣腿，连最基本的数据都保护不了，那不等同于将劳动成果拱手让人。按照存在即合理的逻辑，我们暂且认为它是合理的。
来说说我目前的做法，基于上述数据库创建的Web应用，拼接SQL操作已经渗透到站点的每个页面、每个用户控件，所以我采用的方式是请求过滤。
下面是防SQL注入的操作类：
1: /// <summary>
2: ///SqlInject 的摘要说明
3: /// </summary>
4: public class SqlInject : System.Web.UI.Page
5: {6: //检测到注入后的处理方式: 0:仅警告；1：警告+记录；2：警告+自定义错误页面；3：警告+记录+自定义错误页面
7: private const int _type = 0;
8: private const string errRedirectPage = "/err.aspx";
9: 10: //如果记录注入信息，那么请设置：errMDBpath：数据库路径
11: private const string errMDBpath = "/SqlInject.mdb";
12: 13: 14: //过滤特征字符
15: //过滤特征字符
16: private static string StrKeyWord = ConfigurationManager.AppSettings["SqlKeyWord"]; //@"select|insert|delete|from|count(|drop table|update|truncate|asc(|mid(|char(|xp_cmdshell|exec|master|net local group administrators|net user|or|and";
17: private static string StrRegex = ConfigurationManager.AppSettings["SqlRegex"]; //@";|/|(|)|[|]|{|}|%|@|*|'|!"; // 原始过滤条件：【-|;|,|/|(|)|[|]|{|}|%|@|*|'|!】
18: 19: private HttpRequest request;
20: public SqlInject(System.Web.HttpRequest _request)
21: {22: this.request = _request;
23: }24: ///<summary>
25: ///检测SQL注入及记录、显示出错信息
26: ///</summary>
27: public void CheckSqlInject()
28: {29: bool isInject = false;
30: if (CheckRequestQuery() || CheckRequestForm())
31: {32: isInject = true;
33: }34: else
35: {36: return;
37: } 38: 39: switch (_type)
40: {41: case 0:
42: ShowErr();43: break;
44: case 1:
45: ShowErr(); 46: SaveToMdb();47: break;
48: case 2:
49: ShowErr();50: string temp;
51: System.Web.HttpContext.Current.Response.Write("<script>setTimeout(\"" + "location.href='" + errRedirectPage + "'" + "\",5000)</script>");
52: break;
53: case 3:
54: ShowErr(); 55: SaveToMdb();56: System.Web.HttpContext.Current.Response.Write("<script>setTimeout(\"" + "location.href='" + errRedirectPage + "'" + "\",5000)</script>");
57: break;
58: default:
59: break;
60: } 61: System.Web.HttpContext.Current.Response.End(); 62: 63: }64: private void SaveToMdb()
65: {66: OleDbConnection conn = new OleDbConnection("Provider=Microsoft.JET.OLEDB.4.0;Data Source=" + Server.MapPath(errMDBpath));
67: conn.Open(); 68: OleDbCommand cmd = conn.CreateCommand(); 69: 70: cmd.CommandText = "insert into [Record] (sIP,sDate,sPath) values ('" +
71: request.ServerVariables["REMOTE_ADDR"].ToString() + "','" +
72: DateTime.Now + "','" + request.ServerVariables["URL"].ToLower() + RelaceSingleQuotes(request.QueryString.ToString()) + "')";
73: int code = cmd.ExecuteNonQuery();
74: if (code == 1)
75: System.Web.HttpContext.Current.Response.Write("<br>****以上信息已记录至日志数据库****");
76: else
77: System.Web.HttpContext.Current.Response.Write("<br>日志数据库出错");
78: conn.Close(); 79: 80: }81: private string RelaceSingleQuotes(string _url)
82: {83: string URL = _url.Replace("'", "单引号");
84: return URL;
85: }86: private void ShowErr()
87: {88: //string msg = @"<font color=red>请不要尝试未授权之入侵检测！</font>" + @"<br><br>";
89: //msg += @"操作IP：" + request.ServerVariables["REMOTE_ADDR"] + @"<br>";
90: //msg += @"操作时间：" + DateTime.Now + @"<br>";
91: //msg += @"页面：" + request.ServerVariables["URL"].ToLower() + request.QueryString.ToString() + @"<br>";
92: //msg += @"<a href='#' onclick='javascript:window.close()'>关闭</a>";
93: //System.Web.HttpContext.Current.Response.Clear();
94: //System.Web.HttpContext.Current.Response.Write(msg);
95: System.Web.HttpContext.Current.Response.Write("<script>alert('请不要尝试未授权之入侵检测！');javascript:history.go(-1);</script>");
96: }97: ///<summary>
98: /// 特征字符
99: ///</summary>
100: public static string KeyWord
101: { 102: get 103: {104: return StrKeyWord;
105: } 106: }107: ///<summary>
108: /// 特征符号
109: ///</summary>
110: public static string RegexString
111: { 112: get 113: {114: return StrRegex;
115: } 116: }
更多精彩内容其他人还在看
在SQL Server中使用ISNULL执行空值判断查询
这篇文章主要介绍了在SQL Server中使用ISNULL执行空值判断查询,ISNULL的好处是可以直接写在SELECT查询语句中,需要的朋友可以参考下
收藏 0赞 0分享揭秘SQL Server 2014有哪些新特性(1)-内存数据库
微软SQL Server 2014提供了众多激动人心的新功能，但其中最让人期待的特性之一就是代号为” Hekaton”的内存数据库了，内存数据库特性并不是SQL Server的替代，而是适应时代的补充，现在SQL Server具备了将数据表完整存入内存的功能。那么今天我们就先来看
收藏 0赞 0分享揭秘SQL Server 2014有哪些新特性(2)-固态硬盘 Buffer Pool（缓冲池） 扩展
SQL Server 2014 中引入的缓冲池扩展提供数据库引擎缓冲池的非易失性随机存取内存（即固态硬盘）扩展的无缝集成，从而显著提高 I/O 吞吐量。 那么今天我们来探究下，这个功能到底如何强悍吧
收藏 0赞 0分享揭秘SQL Server 2014有哪些新特性(3)-可更新列存储聚集索引
可更新的列存储索引作为SQL Server 2014的一个关键功能之一，在提升数据库的查询性能方面贡献非常突出。据微软统计，在面向OLAP查询统计类系统中，相比其他SQL传统版本的数据库，报表查询的性能最大可提升上十倍。
收藏 0赞 0分享揭秘SQL Server 2014有哪些新特性(4)-原生备份加密
SQL Server原声备份加密对数据安全提供了非常好的解决方案。使用原生备份加密基本不会增加备份文件大小，并且打破了使用透明数据加密后几乎没有压缩率的窘境。
收藏 0赞 0分享浅析SQL Server中包含事务的存储过程
数据库事务(Database Transaction) ，是指作为单个逻辑工作单元执行的一系列操作，要么完整地执行，要么完全地不执行。那么在存储过程里添加事务，则可以保证该事务里的所有sql代码要么完全执行要么完全不执行。
收藏 0赞 0分享深入分析MSSQL数据库中事务隔离级别和锁机制
事务隔离级别简单的说，就是当激活事务时，控制事务内因SQL语句产生的锁定需要保留多入，影响范围多大，以防止多人访问时，在事务内发生数据查询的错误。设置事务隔离级别将影响整条连接。
收藏 0赞 0分享人工智能自动sql优化工具--SQLTuning for SQL Server
SQL语句是对数据库进行操作的惟一途径，对数据库系统的性能起着决定性的作用。对于同一条件下的SQL语句写法有很多，其中一些写法往往对性能又有很大影响。但是每个人掌握SQL语言的水平不同，如何才能保证写出高性能的SQL呢？
收藏 0赞 0分享 查看更多
