Открыты ли какие-либо из этих SQL-запросов для атак с использованием SQL-инъекций?

Question

Я переписал свой код после огромной помощи от некоторых дружественных участников переполнения стека (большое спасибо особенно Martin B и Kev Chadders) Теперь я хотел бы проверить, открыт ли мой код для SQL-инъекций после этой работы. Я верю, что код теперь работает так, как должен, но любые ослепительные ошибки, о которых вы увидите, я бы тоже хотел услышать. Мой код теперь выглядит так:

   -code removed-

Answer 1

Кажется, вы защищены от атак с использованием SQL-инъекций, но код такой:

Response.Write(result);

и

Response.Write("<b><u> --- Begin SQL Exception Message ---</u></b><br />")
Response.Write(ex)
Response.Write("<br /><b><u> --- End SQL Exception Message ---</u></b>")

может оставить вас открытым для других форм атаки, таких как XSS . Вы должны установить текстовый элемент элемента управления ASP.NET, а не записывать напрямую на страницу.

Answer 2

Вы можете запустить инструмент статического анализа кода CAT.NET, чтобы идентифицировать все векторы внедрения XSS и SQL в проекте, в том числе ссылочные сборки.

http://www.microsoft.com/downloads/details.aspx?FamilyId=0178e2ef-9da8-445e-9348-c93f24cc9f9d&displaylang=en

Отчеты обычно делают для интересного чтения.

Answer 3

Вы используете SqlParameters , который эффективно устраняет все проблемы SQL-инъекций.

Answer 4

Кажется, хорошо для меня.

Обычно, если вы не объединяете строку SQL и используете параметризованные запросы, вы защищены от атак с использованием SQL-инъекций.

Answer 5

Вы должны запустить сканер для проверки потенциальных уязвимостей SQL-инъекций. Мне повезло с http://sqlmap.sourceforge.net/