XSS - SQL-инъекция - Owasp vs AntiXss против Microsoft Anti-Cross Site Scripting Library - PullRequest
Новая
       67

XSS - SQL-инъекция - Owasp vs AntiXss против Microsoft Anti-Cross Site Scripting Library

2 голосов
/ 03 декабря 2009

  • Мы рассматриваем использование библиотеки, чтобы помочь нам обнаружить SQL-инъекции.

    • Мы используем sprocs и параметризованные операторы, но ради этого поста мы используем только какую-то рану библиотеки, которая обнаруживает / проверяет пользовательский ввод.

Что лучше? Проще всего реализовать? Легче всего обновлять / управлять? Почему предпочитаете одно другому?

На примечании стороны:

Я только начал использовать Owasp . с C #. Я надеялся, что при проверке будет больше правил по умолчанию. При использовании функции isValid существует только 5 правил по умолчанию.

CREDIT_CARD - Ключ имени правила для правила проверки кредитной карты. ДАТА - Ключ имени правила для правила проверки даты. DOUBLE - Ключ имени правила для правила двойной проверки. INTEGER - Ключ имени правила для целочисленного правила проверки. PRINTABLE - ключ имени правила для печатаемого правила проверки.

Я надеялся, что для определения строки SQL-инъекций будет больше правил по умолчанию.

Спасибо

Ответы [ 2 ]

4 голосов
/ 26 мая 2010

Использование сохраненных процедур - довольно большой шаг в правильном направлении. К этому я добавлю проверку ввода, которая выглядит так, как будто вы пытаетесь сделать это с библиотекой OWASP ESAPI, но в большинстве случаев ее довольно просто реализовать с помощью регулярных выражений. Вы должны найти множество общедоступных шаблонов для большинства ненадежных данных.

Еще одна вещь, которую вы можете сделать, это применить принцип наименьших привилегий на уровне данных. Подумайте об использовании более чем одной учетной записи SQL и ограничьте доступ ваших учетных записей, используемых общедоступными пользователями, к абсолютно абсолютным минимальным функциям. Вы используете сохраненные процедуры; попытайтесь избежать каких-либо прав чтения или чтения данных, если вы этого еще не сделали.

Подробнее в OWASP Top 10 для разработчиков .NET, часть 1: Инъекция

1 голос
/ 08 октября 2010

Я использую AntiXSS для проверки пользовательского ввода - в частности, включая аганиста защиты SQL Injection. Я видел несколько атак, но ничего не получилось - так что, похоже, хорошо работает для меня.

Также - Трой знает, о чем говорит - его статья на эту тему действительно хороша:)

...