SQL-инъекция с параметризованными процедурами

Question

необходимо немного помочь с этой проблемой впрыска sql:

Ниже приведена версия параметризованной хранимой процедуры. Исключая, как он вызван из приложения, существует ли способ предотвратить обращение @v_string к динамическому SQL?

Я думаю, что это довольно непроницаемый для воды - нет исполняемого или объединенного sql, но все же вставка точки с запятой позволяет возвращать дополнительные данные.

Я знаю, что есть несколько уровней, чтобы рассмотреть этот вопрос, но я хочу знать, есть ли какое-то простое решение, которое мне не хватает здесь, поскольку большинство исправлений для инъекций связаны с динамическими запросами.

create table dbo.Employee (EmpID int,EmpName varchar(60)) 


declare 
    @v_id int, 
    @v_string varchar(60) 
begin 

    set @v_string='test'''; waitfor delay '0:0:5' -- 

    if @v_id is null 

    begin 
     set @v_id =   (select EmpID 
           from  Abc.Employee 
           where EmpName=@v_string); 
    end 


    print @v_id 
end 

Answer 1

есть в любом случае, чтобы предотвратить @v_string от рассматривается как динамический SQL?

Я бы не стал ожидать @v_string следует рассматривать как динамический SQL здесь, так как код T-SQL не имеет EXECUTE или EXECUTE sp_executeSQL. Значение не будет выполнено, но рассматривается как значение WHERE, не уязвимое для SQL-инъекции.

Если это не ответит на ваш вопрос, напишите полный пример, демонстрирующий значение, которое обрабатывается как динамический SQL.

Answer 2

Вы сбиты с толку вашим собственным тестированием. Линия:

set @v_string='test'''; waitfor delay '0:0:5' -- 

создает строку @v_string со значением test', а затем выполнение waitfor delay '0:0:5'. Затем выполняется ваш фактический запрос Employee.

Так что, если вы запустите запрос, как есть, с дополнительным, например:

set @v_string='test'''; select * from sys.databases 

... что будет происходить в том, что строка кода будет установлен @v_string быть test', а затем сразу же выполнить select * from sys.databases. Затем остальная часть вашего кода будет запущена, выполняя ваш фактический выбор. Таким образом, вы будете видеть результата select * from sys.databases, а затем в результате вашего Employee запроса, но только потому, что вы на самом деле жестко заявление select * from sys.databases в вашу процедуру, не понимая, что это :)

Если вы хотите строку @v_string который должен быть установлен в test'; waitfor delay '0:0:5', то у вас есть got the string quoting неправильно. Оно должно быть:

set @v_string='test''; waitfor delay ''0:0:5'''