cómo evitar la inyección de SQL en un sitio web asp.net

Question

Para la entrada de correo electrónico en un cuadro de texto por el usuario estoy haciendo cheque lado del cliente, para saber si el correo electrónico es válida o no

string emailexist = "SELECT COUNT(DISTINCT UserID) as count FROM tbl_user WHERE Email=@Email ";  


    <asp:RegularExpressionValidator ID="RegularExpressionValidator2" ValidationGroup="Login" ControlToValidate="txtUserName" 
          ValidationExpression="\w+([-+.]\w+)*@\w+([-.]\w+)*\.\w+([-.]\w+)*" CssClass="Error" 
          runat="server" /> 

es esto normal expresión lo suficientemente buena como para evitar la inyección de sql para el correo electrónico.

Otro texto:

string groupExistQuery = "SELECT COUNT(DISTINCT GroupID) as count FROM tbl_group WHERE GroupName=@GroupName"; 

que estoy haciendo una consulta en el lado del servidor para comprobar si el nombre del grupo introducida por el usuario ya está disponible en la base de datos, hay una fuerte posibilidad de realizar la inyección sql aquí. ¿Cómo debo evitarlo?

Answer 1

Una expresión regular es no relacionada a inyección SQL (la inclusión en listas negras, etc. nunca es el enfoque más sólido); sin embargo, el uso del parámetro @Email significa (suponiendo que permanece en parametrizado) que es no susceptible a inyección SQL.

La inyección SQL se relaciona con la concatenación inapropiada de entrada; la principal herramienta para combatirlo son los parámetros, que ya han sucedido aquí.

Por ejemplo, si se hizo:

var sql = "SELECT ...snip... WHERE Email='" + email + "'"; // BAD!!!!! 

continuación que es muy susceptible a la inyección de SQL. Al usar un parámetro, el valor no se trata como parte de la consulta, por lo que el atacante no tiene un vector de ataque.

Answer 2

Puede evitarlo si no utiliza Direct SQL y utiliza consultas parametrizadas y/o procedimientos almacenados.

Answer 3

Si utiliza valores parametrizados, estará bien independientemente, no puede inyectar a través de parámetros, solo a través de valores concatenados.

Answer 4

Here es la respuesta del grupo de Prácticas & de Microsoft a su pregunta.

En general, la regla simple es: no usar generación dinámica de SQL y, si lo hace, desinfectar su entrada.

Nunca concatenas cadenas para construir tu consulta SQL. Si necesita crear una consulta por su cuenta en su aplicación, utilice consultas SQL parametrizadas con parámetros, de esta manera estará en un lado seguro.

Aquí se muestra un ejemplo del documento proporciono el enlace de arriba:

DataSet userDataset = new DataSet(); 
    SqlDataAdapter myCommand = new SqlDataAdapter( 
      "LoginStoredProcedure", connection); 
    myCommand.SelectCommand.CommandType = CommandType.StoredProcedure; 
    myCommand.SelectCommand.Parameters.Add("@au_id", SqlDbType.VarChar, 11); 
    myCommand.SelectCommand.Parameters["@au_id"].Value = SSN.Text; 

    myCommand.Fill(userDataset); 

Answer 5

1. Use parametrizado los valores
2. codifican las cadenas