SQL veracode уязвимости инъекции c# - PullRequest
Новая
       83

SQL veracode уязвимости инъекции c#

0 голосов
/ 06 мая 2020
Отчет

Veracode показывает ошибку внедрения SQL для следующего запроса. 

private const string DropDatabaseTemplate = @"DROP DATABASE [{0}]";
ExecuteNonQuery(connection, string.Format(DropDatabaseTemplate, databaseName));

private static int ExecuteNonQuery(SqlConnection connection, string commandText)
        {
            using (var command = new SqlCommand(commandText, connection))
            {
                return command.ExecuteNonQuery();
            }
        }

они предложили использовать параметризованные подготовленные операторы. Каким будет мой подход к устранению этой уязвимости в системе безопасности?

Заранее спасибо.

Ответы [ 2 ]

0 голосов
/ 05 сентября 2020

Я никогда не пробовал, но подозреваю, что это сработает: 

    private static void DropDbNamed(SqlConnection connection, string name)
    {
        using (var command = new SqlCommand("EXEC @q", connection))
        {
            command.Parameters.AddWithValue("@q", $"DROP DATABASE [{name}]"); 
            var command.ExecuteScalar();
        }
    }

Примечание: стандартное выражение Джоэла «прекратить использование AddWithValue» здесь не применяется

0 голосов
/ 06 мая 2020

Как бы это могло выглядеть. 

private const string DropDatabaseTemplate = @"DROP DATABASE [{0}]";


private static int ExecuteNonQuery(SqlConnection connection, string commandText)
{
    string dbNamesQuery_ = @"SELECT [name]
                FROM sys.databases d
                WHERE d.database_id > 4";

    DataTable tableNames = new DataTable();
    using (var command = new SqlCommand(dbNamesQuery_, connection))
    {
        SqlDataReader dataReader_ = command.ExecuteReader();
        tableNames.Load(dataReader_);        //allow you dynamically load actual list DB, but you can fill table manually.
        //find exactly same name of DB that user requared.
        var rowsData_ = tableNames.Select(String.Format("name = '{0}'", commandText));        
        if (rowsData_.Length == 1)        //it will be prevent any kind of injection.
        {
            command.CommandText = String.Format(DropDatabaseTemplate, commandText);
            return command.ExecuteNonQuery();
        }
        else
        {
            return -1;
        }
    }
}
...