c# - How do I protect this function from SQL injection? -

- 

  सार्वजनिक स्थैतिक बूल TruncateTable (स्ट्रिंग dbAlias, string tableName) {string sqlStatement = string.format ("truncate table { 0} ", टेबलनाम); वापसी ExecuteNonQuery (dbAlias, sqlStatement)> 0; एसक्यूएल इंजेक्शन से लड़ने के लिए सबसे आम सिफारिश एसक्यूएल क्वेरी पैरामीटर का उपयोग करने के लिए है (

इस मामले में यह गलत जवाब है आप किसी डीडीएल स्टेटमेंट में तालिका नाम के लिए SQL क्वेरी पैरामीटर का उपयोग नहीं कर सकते।

SQL क्वेरी पैरामीटर केवल एक SQL अभिव्यक्ति में एक शाब्दिक मूल्य के स्थान पर उपयोग किया जा सकता है। यह एसक्यूएल के हर कार्यान्वयन में मानक है।

एसक्यूएल इंजेक्शन के खिलाफ की रक्षा करने के लिए मेरी सिफारिश जब आपके पास तालिका नाम है, तो ज्ञात तालिका नामों की सूची के खिलाफ इनपुट स्ट्रिंग को मान्य करना है।

आप INFORMATION_SCHEMA से मान्य तालिका नामों की एक सूची प्राप्त कर सकते हैं: 

  चयन तालिका_नाम से सूचना_एससीएचएएमए.Tables जहाँ तालिका की तालिका = 'आधार तालिका' और तालिका_नाम = @tableName   
 अब आप अपने इनपुट वैरिएबल को इस क्वेरी को एक SQL पैरामीटर के रूप में पास कर सकते हैं। यदि क्वेरी कोई पंक्तियों को वापस नहीं देती है, तो आप जानते हैं कि इनपुट तालिका के रूप में उपयोग करने के लिए मान्य नहीं है। यदि क्वेरी एक पंक्ति लौटाती है, तो इसका मिलान होता है, इसलिए आपके पास अधिक आश्वासन है कि आप इसे सुरक्षित रूप से उपयोग कर सकते हैं।  
 आप तालिका के नाम को विशिष्ट टेबल की सूची के साथ भी मान्य कर सकते हैं, , @ जॉन बुकानन के रूप में।  
 यह भी मान्य करने के बाद भी कि आपके कोड RDBMS में  tableName  मौजूद एक टेबल नाम के रूप में मौजूद है, मैं भी मेज नाम को विभाजित करने का सुझाव देगा, बस आप तालिका नामों का उपयोग करते हैं रिक्त स्थान या विशेष वर्णों के साथ माइक्रोसॉफ्ट एसक्यूएल सर्वर में, डिफ़ॉल्ट आइडेंटिफ़ायर सीमांकक वर्ग के कोष्ठक होते हैं: 
 
  स्ट्रिंग sqlStatement = string.Format ("ट्रंककेट टेबल [{0}]", टेबलनाम);  
 
 अब आप एसक्यूएल इंजेक्शन के लिए जोखिम में हैं यदि  टेबलनाम  एक वास्तविक तालिका से मेल खाता है, और आप वास्तव में अपनी टेबल के नामों में चौकोर ब्रैकेट का उपयोग करते हैं!

Comments

Post a Comment

Popular posts from this blog

c# - How to capture HTTP packet with SharpPcap -

-
I would like to capture all incoming HTTP packets on my machine. To do this, I am using SharpPcap which is a WinPcap The cover is. SharpPcap works very well, but it captures TCP packets and what it wants to do for me is a very low level. Does anyone know how can I easily get full HTTP requests / reactions from all these TCP packets? Thanks SharpPcap is already able to capture the packet in the same way That's what the virus does (just in the code instead of the GUI). And you can either either parse them directly or you can put them in the drive in the common .pcap file format. The steps to parse the capture are: Open a connection at any time Loop a while Or start capturing using an event callback Parsing the raw packet for the type you want If you are reading .PPP dump files In addition to calling you an offline capture reader is almost the same, there is no need to select an interface, and you can set the majority There is no need to do the modes. All st
Read more

jquery - SimpleModal Confirm fails to submit form -

-
I am trying to confirm jQuery to show yes / no confirmation when I submit a form. I had modified (in the last list) to capture and block form submissions. However, it only works with jQuery 1.2.6, a recent upgrade stops 1.3.2, if yes is clicked, then by submitting the form. But I can not understand what is wrong / inconsistent in my code now. Demo (which works in both versions of a simple window.href implementation). $ (document) .ready (function () {$ ('input.delete'). Click (function (e) {e.preventDefault (); var target = $ (e .target); Confirm ("Really delete this event?", Function () {target.click ()});});}); How about something like this? The idea of ​​catching clicks (and fire!) On the submitted event is not click event. $ (document) .ready (function () {$ ('# myForm'). Submit (function () {var f = this; Confirm (" Remove? ", Function () {$ (f). Submit ();}) Return; Return the initial session;}}}}; Hope That this is som
Read more

php - Multiple Select with Explode: only returns the word "Array" -

-
By using Wordpress I have created a multiple selection box so that users can select categories to exclude. When the page is initially loaded, I see my predefined default option. However, when I select a new value and I save ... I only see the word "Array" and have not chosen anything else? & lt; Class = "amultiple" id = "& lt; php echo $ value ['id'] ;? gt;" name = "& gt; php echo $ value ['id'] ;; gt; []" Multiple = "multiple" size = "8" & gt; & Lt ;? Php global option; Foreign currency ($ value as value $) {if (get_settings ($ value ['id']) === FALSE {$$ value ['id'] = $ value ['std']; } And {$$ value ['id'] = get_settings ($ value ['id']); }} $ Ranges = & amp; Amp; Categories ('type = post & orderbiz = name & amp; hide_empty = 1'); If ($ ranges) {$ ex_cat = implode (',', $ tt_cat_exclude); Forex Currency ($ range a
Read more