Как программно дезинфицировать параметры cfquery ColdFusion?

Question

Я унаследовал большое наследие ColdFusion. Есть сотни <cfquery> некоторые SQL здесь # переменная # </cfquery > заявления, которые должны быть настроены параметры вдоль линий: <cfquery> некоторые SQL здесь < значение cfqueryparam = "# переменная #"/> </cfquery >

Как можно программно добавить параметризацию?

Я думал о написании некоторого регулярного выражения или решения sed/awk'y, но похоже, что кто-то где-то решил такую ​​проблему. Бонусные баллы присуждаются за автоматическое определение типа sql.

Answer 1

Там в queryparam сканер, который найдет их для вас на RIAForge: http://qpscanner.riaforge.org/

Answer 2

Существует скрипт ссылки здесь: http://www.webapper.net/index.cfm/2008/7/22/ColdFusion-SQL-Injection, что будет делать большую часть тяжелого подъема для вас. Все, что вам нужно сделать, это проверить запросы и убедиться, что синтаксис будет правильно разбираться.

Исправлено из-за того, что CFQueryParam не использует CFQueryParam, кроме того, что он более безопасен, это повышение производительности и лучший способ обработки цитируемых значений в символьных колонках.

Answer 3

<cf_inputFilter 
      scopes = "FORM,COOKIE,URL" 
      chars = "<,>,!,&,|,%,=,(,),',{,}" 
      tags="script,embed,applet,object,HTML"> 

Мы использовали это, чтобы противодействовать недавней атаке по внедрению SQL. Мы добавили его в файл Application.cfm для нашего сайта.

Answer 4

Я сомневаюсь, что есть решение, которое точно соответствует вашим потребностям. Единственный вариант, который я вижу, это написать собственный рекурсивный поиск, который создает отчет для вас или использует один из приложений/сценариев, перечисленных выше. В принципе, вам придется редактировать каждую страницу или одобрять все автоматические изменения.

Answer 5

Имейте в виду, что вы не сможете решить все проблемы с помощью <cfqueryparam>.

Я видел ряд примеров, в которых в строке запроса передается имя по имени поля, что является немного более сложной задачей для решения, поскольку вам нужно проверить это более «вручную».