ASP.NET SQL INJECTION ATTACK

CODICE Cliente

...

Mentre Il Codice del CodeBehind è Il Seguente

File: Simple.aspx.csprivate void Btncerca_Click (Object Sender, System.EventArgs E)

{

String sconn = "server = xxx; uid = ..."

SqlConnection Oconn = New SqlConnection (SconN);

String strsql = "select * from customers where customerid = '" txtcliente.text "" "

SQLCommand Ocmd = New SQLCOMMAND (STRSQL, OCONN);

Oconn.open ();

SqlDataReader oreader = OCMD.ExecuteReader (Commandbehavior.CloseConnection);

DGCustom.DataSource = OREADER;

Page.DATABIND ();

oreader.close ();

Oconn.Close ();

}

Quando L'Utente Preme Il Pulsante "Ricerca" La Pagina Estrae Il Record Corrispondente Con Lo Statement Sopra Indicato E RITORNA I DATI IN UNA DATA LIST.

E Senza Grosse Formattazioni La Pagina Si Presenta Così:

L'utente potrebbe prova a digitare il simbolo percentuale "%" per cercare di estrarre tutti i record della tabella Customer. Fortunatamente il nostro "super codice" non contiene nessuna clausola LIKE, quindi l'utente non otterrebbe nessun record in risposta.

SE PERò L'Utente, Invece Di Inserire Un ID DI Cliente (Anton Nel Nostro Esempio), Inserisce Questa Simpatica Stringa

Anton 'or Customerid Like'%

VI IMMAGINATE COSA Accade NELLA NOSTRA PAGINA?

Il Risultato Della Stringa SQL Che La Nostra Pagina Invia A SQL Server Sarebbe

Select * from customers where customerid = 'anton' or customerid Like '%'

L'Output Della Pagina è Ovio J

E 'vero che l'utente maligno deve conoscere il nome del campo della nostra tabella per impostare la corretta clausola LIKE, ma è altrettanto vero che il cosiddetto Lazy Programmer (letteralmente Programmatore Stanco ... o scarpone J) costruisce la tabella SQL con un Nome Di Campo Facile Da Ricordare CHE Probabilmente Corrisponde Al Nome Della Colonna Della Tabella Da Presentare All'utente.se il Programmatore Ha usato Nomi Tipo ASTERE HA Usato Nomi Tipo As / 400 IL Problema Non Si Presenta J

Probabilmente Il Campo CodiceCliente Si Chiamerebbe "Acc01a" ... è Anche Vero Però Che Esistono Delle Convenzioni, Di Conseguenza Protrebbe Addirittura Essere Più Semplice Scoprirli J

Vediamo Come Risolvere Il Problema Di Scoprire Come Si Chiamano I Campi Della Tabella Sorgente

Provate la seguente stringa

Anton 'OR 1 = 1 -

Il risultato è "Perfetto", e Senza ConsoScere I Nomi Dei Campi.

NB I Due TRATTINI (-) SONO LA SINTASSI Per Definire Un Commento In T-SQL. NEL CASO DI ORACLE BASTA USARE UN ";" (Cancelletto, O Sharp Come) Va di moda adaceo)

MA, L'Attacco SQL INJECTION, Connte All'Hacker Di Province A Scoprire Qualcosa in Più Sul Nostro Database Server.

La Prima Tecnica Si Chiama SQL Union Attack E CONSISTE NEL CERCARE DI Estrarre Dal DB Informazioni Di Altre Tabelle (IL Nome Union Deriva ProPrio Dalla Omonima Clausola SQL).

Proviamo Subito A Digitare Nella TextBox CodicEcliente La Seguente Stringa

Anton 'Union Select @@ ServerName -

La Stringa SQL INVIATA Al Database Sarà Quindi

Select * from customers where customerid = 'anton' union select @@ servername -

Vediamo come appare la nostra Web Form di esempio, anzi risparmiatevelo perchè in questo caso viene generato un errore, ma il motivo non è quello che si pensa e cioè "non si potrà chiedere il nome del server a SQL" .L'errore deriva semplicemente dal fatto che la seconda select non ritorna un numero uguale di colonne rispetto alla prima non è però difficile scoprire il numero delle colonne:.. basta contare il numero delle colonne presentate a video e ripetere n volte @@ servername nel campo textbox Anche andare a Tentativi Non Poi Così Difficile.

Scripndo NOSTRO CASO 11 Volte @@ Servername, IL Risultato è Il Seguente

Provate Anche Con @@ serviceename e con @@ version ... è DivertEnte.

Con @@ Version Ad Esempio Il Buon Database Ritorna La Su Versione, La PiattaForma Con La Relativa Versione e Build.

Ad Esempio "Microsoft SQL Server 2000 - 8.00.534 (Intel x86) NOV 19 2001 13:23:50 Copyright (c) 1988-2000 Microsoft Corporation Developer Edition On Windows NT 5.1 (Build 2600:)

Così Sapete Come Si Chiama La Macchina Con Cui Abbiamo Scritto Questo Articolo, Nonchè La Versione Del Nostro SQL Server E il Nostro Sistema Operative (NT 5.1 è Windows XP)

La soluzione al problema non esiste in un wizard o un automatismo tecnologico e quindi implica la scrittura di qualche riga di codice. In fondo è il nostro lavoro ed è spesso quello che differenzia un'applicazione che crasha o da problemi da un'applicazione seria e Con Bassa manutenzione.

UN SEMPLICE METODO E COME TALE NON COSì Efficace Può Essere Semplicemente Impostare la lunghezza massima della textbox.

Mettiamo quindi la maxlength HTML nel campo textbox, ma invece di provare a vedere se funziona, ricordiamoci che una controllo client-side può essere eluso facilmente da un utente medio. Anche inserendo script lato client nessuno impedisce all'utente di salvare la pagina sul suo disco, rimuovere tutti i controlli, ricarica la pagina dal suo disco e farci una POST Http con le informazioni che vuole. Anche senza questo giro, può simulare una POST con un client diverso dal browser.Abbiamo capito che il controllo delle informazioni va fatto sempre Anche Server-Side, Unico Meccanismo Per Evitare Le Tecniche di spoofing più comuni.

Non Esistendo Un Validator Control In ASP.NET CHE Controlli La Lunghezza Di Un Campo, Dobbiamo ProCeder A Mano Controllando, Dove Possibile, La Lunghezza Della stringa di input.

E 'Assolutamente Ovio CHE Questo Controllo Lasci Un Po' IL Tempo Che Trova, Visto Che Già Un Campo Lungo 11 Caratte Di Scripre "a or 1 = 1 -" NELLA INPUT BOX.

Di Conseseguenza La Soluzione è Controllare Che Non Siano Presenti Caratteri Speciali (!, @, @, @, @, @, @, @, @, @, @, @, @, @, @,

In questo caso esiste un Validator Control che ci può dare una mano per il controllo dei caratteri digitati in un campo input:. RegularExpressionValidator Ricordiamo che tutti i Validator Control effettuano anche i controlli server-side.

Scrivere le regular expression non è così banale come scrivere un po 'di if nel codice, ma sicuramente ne guadagnamo in pulizia ed eleganza di codice. Scrivere 39 if nel click di un pulsante non rende il nostro codice così leggibile.

ECCO UN ESEMPIO DI REGULAR EXPRESSION

[^ / =% -] *

Che Consente Di Controllare Che Non Esistano I Seguenti Caratti in Una Stringa: / =% - (Slash, Uguale, Percento, Meno)

(N.B. Ricordatevi Di Mettere IL "-" Come Ultimo CARATTERE Essendo Un CARATTERE Speciale)

Applicando Questa Espressione Alla Proprità ValidationExpression Del Controllo RegularExpressionValidator Abbiamo Risolto IL Problema, Almeno Per Adeso ....

NOPO DI SQL Injection E Speriamo .... la Soluzione Ad Essi.