SQL Inject verhindern

01/14/2014 14:19 Dr.Dr.SheldonLeeCooper#1

Hallo,

in den letzten 2 Tagen wurde meine Datenbank in MSSQL 2x gel�scht durch eine Injection von SQLi. Habe mir viele TuT durchgelesen auf Google und verstehe da nur Bahnhof... Wollte fragen ob mir evtl. einer helfen k�nnte mich davor zu sch�tzen. Da ich mich nicht wirklich sonderlich gut mit MSSQL auskenne suche ich hier Hilfe.

Gebe auch mein restliches e*G, ist zwar nich viel kann aber leider grade nicht mehr bieten...

01/14/2014 14:56 マルコ#2

Mein Tipp: Schau dir mal [Only registered and activated users can see links. Click Here To Register...] an.
Damit kannst du b�se Sachen ausfiltern lassen, wenn du den richtigen Filter w�hlst.
Oder du schaust dir [Only registered and activated users can see links. Click Here To Register...] an.
Mit den Seiten, die ich hier gepostet habe, sollte es kein Problem sein, das auf deinen Script anzuwenden.

01/14/2014 21:08 Sedrika#3

Alle Strings als Hex Wert �bergeben.

Wenn der User ";shutdown;--" eingibt, wird der SQL Server herrunter gefahren.
Sollte jetzt dieser aber als Hex Wert, sprich "0x3b73687574646f776e3b2d2d" �bergeben werden, wird dieser von SQL als String angenommen und nicht mehr als Befehl.

Beispiel:

Code:

USE [MY_DATABASE]
UPDATE [MY_TABLE] SET [COLUMN] = 0x3b73687574646f776e3b2d2d WHERE [ID] = 0

Nun w�rde in der Spalte ";shutdown;--" auch als Text stehen.

Falls du f�r das ganze eine Klasse haben willst siehe hier: [Only registered and activated users can see links. Click Here To Register...]

01/14/2014 22:56 マルコ#4

Quote:

Originally Posted by Sedrika

Alle Strings als Hex Wert �bergeben.

Joa, und nun willst du irgendwas in der DB �ndern (passiert bei eigenen Entwicklungen doch recht h�ufig) und musst dich mit HEX rumschlagen?

01/14/2014 23:12 Sedrika#5

Wieso soll man sich mit Hex rumschlagen?
Das ist einfacher als du denkst.
�ber PHP einfach mit

Code:

"0x".bin2hex( $string )

und �ber SQL bsp. in Prozeduren via

Code:

-- Max Username length 16 chars
DECLARE @hex_user VARBINARY(32) = CAST( @user AS VARBINARY(32) )

Ich wei� nicht wo du da ein problem siehst. Wenn ich dadurch jeglichen injection kram aushebeln kann, ist es vollig akzeptabel.

In den Link oben den ich mit dazu gepackt habe ist eine SQL Klasse von mir welche sch�n alles via PHP absichert, dabei einfach mal auf die Escape funktion schauen. Eine einzige Zeile verhindert jeglische injections.

01/16/2014 08:07 MrSm!th#6

Quote:
Originally Posted by Sedrika
Alle Strings als Hex Wert �bergeben.

Wenn der User ";shutdown;--" eingibt, wird der SQL Server herrunter gefahren.
Sollte jetzt dieser aber als Hex Wert, sprich "0x3b73687574646f776e3b2d2d" �bergeben werden, wird dieser von SQL als String angenommen und nicht mehr als Befehl.

Beispiel:
Code:
USE [MY_DATABASE]
UPDATE [MY_TABLE] SET [COLUMN] = 0x3b73687574646f776e3b2d2d WHERE [ID] = 0
Nun w�rde in der Spalte ";shutdown;--" auch als Text stehen.

Falls du f�r das ganze eine Klasse haben willst siehe hier: [Only registered and activated users can see links. Click Here To Register...]

Unsinn. One4All L�sungen (bis auf Prepared Statements) gibt es nicht.
Alles kurz und klein escapen ist selten sinnvoll. Stattdessen sollte man den Input kontextgerecht validieren.

Und ich pers�nlich kann hex nicht im Kopf zu ascii umrechnen, weshalb mir ein spontaner Blick in die db durch so eine "L�sung" deutlich erschwert w�rde.

Und vergessen wir mal nicht die unn�tige ~Verdopplung des Speicherbedarfs.

Quote:

Originally Posted by Sedrika

Ich wei� nicht wo du da ein problem siehst. Wenn ich dadurch jeglichen injection kram aushebeln kann, ist es vollig akzeptabel.

In den Link oben den ich mit dazu gepackt habe ist eine SQL Klasse von mir welche sch�n alles via PHP absichert, dabei einfach mal auf die Escape funktion schauen. Eine einzige Zeile verhindert jeglische injections.

Ebenfalls Unsinn.

01/16/2014 10:12 Coniesan#7

Also ich kann das hier zur �bergabe Validierung nur empfehlen:
[Only registered and activated users can see links. Click Here To Register...]

oder man schreibt sich ne Function:

PHP Code:


			
    public function checkForbidden($wert) {
        $checkit = preg_match("/^[^!\"\/?*':<>[:space:]]+$/",$wert);
        if($checkit) return true;
        else return false;
    }