Есть ли способ программно вызывать из C # операторов, таких как CREATE / ALTER DATABASE на SQL Server, без создания проблем безопасности?

Question

У меня есть приложение .NET, которое выполняет следующую инструкцию, используя SqlCommand:

DECLARE @SQL VARCHAR(100)
SELECT @SQL = 'CREATE DATABASE ' + @DB
EXEC(@SQL)

Параметр @DB поступает из пользовательского ввода, поэтому очевидно, что приложение уязвимо для чего-то вроде 'X DROP DATABASE Y».Я уверен, что должен быть очевидный способ пропустить ...

Редактировать: использование параметризованного оператора не может работать, потому что вы не можете использовать параметр в CREATE DATABASE (CREATE DATABASE @DB возвращает синтаксическую ошибку).

Answer 1

Во-первых, вы не должны никогда, никогда делать это из веб-приложения. Когда-либо. В самом деле. Я серьезно. За исключением пакетов развертывания, единственное время, которое мне нужно для выполнения CREATE DATABASE, - это анализатор запросов в SSMS. Кроме того, я с подозрением отношусь к любому коду, который позволил бы пользователю ввести имя базы данных, а затем пойти и создать его.

Самое главное, то, что вы опубликовали, не является "параметризованным запросом". Это сцепленный SQL, который является источником уязвимостей внедрения SQL. . Если бы это был параметризованный запрос (или хранимый процесс, но я не думаю, что вы можете сделать CREATE DATABASE из sproc), SQL-инъекция не будет проблемой.

Вы можете либо использовать реальный параметризованный запрос ( здесь хороший учебник по параметризованным запросам. ), либо дезинфицировать ваши входные данные, но ADO.NET или любая другая библиотека БД будет надежно обрабатывать это для вас, ЕСЛИ вы правильно строите объекты команд и параметров.

Answer 2

Используйте подход белого списка: разрешите только буквы.

Answer 3

Вы, вероятно, захотите указать параметры - параметризованные запросы в значительной степени исключают атаки с использованием SQL-инъекций (если вы не объединяете строки в принимающих хранимых процедурах).

Как я уже сказал в своем комментарии, я надеюсь, что есть исключительно веская причина для создания баз данных / таблиц на лету, где создание строк, похоже, работает для большинства остальных.