参数化查询

Bertha 。 2022-08-21 12:43 589阅读 0赞

# 漏洞攻击 #

一个简单的登陆的例子  
![这里写图片描述][20160501182433910]  
 其中sql语句的拼接如下

string sql = "select count(*) from LoginTest where uid='" + uid + "' and pwd='" + pwd + "';";

我不知道数据库中用户名对应的密码，但当我输入的密码为`1' or '1'='1` 时，就可以登陆成功。  
因为当输入`1' or '1'='1` 时，sql语句就被拼接为

select count(*) from LoginTest where uid='小明' and pwd='1' or '1'='1';

不加限制的话，`1' or '1'='1` 就成了万能密码。  
在数据库中单引号用来把字符串括起来，单引号具有特殊的意义。这里就把单引号看做用来括字符串了，而没有把单引号当做一个普通的单引号。如果我想在数据库存一句含有单引号的话（I’m a boy.），怎么存？数据库中用两个单引号代表一个单引号，来达到转义的目的。

# 参数化编程 #

参数化编程所完成的工作就是把那些有特殊意义的符号转义成没有特殊意义的符号。  
在数据库里定义用户变量需要在前边加@

//1.修改sql语句
    string sql="select count(*) from LoginTest where uid=@uid and pwd=@pwd;";
    
    int count;
    using(SqlConnection conn=new SqlConnection(connStr))
    {
        using(SqlCommand cmd=new SqlCommand(sql,conn))
        {
            //2.将参数交给cmd
            cmd.Parameters.AddWithValue("@uid", uid);
            cmd.Parameters.AddWithValue("@pwd",pwd);
            conn.Open();
            count=(int)cmd.ExecuteScalar();
        }
    }

用SQL Server Profiler查看执行过的sql语句，显示为

exec 
    sp_executesql N'select count(*) from LoginTest where uid=@uid and pwd=@pwd;',N'@uid nvarchar(2),@pwd nvarchar(12)',@uid=N'小明',@pwd=N'1'' or ''1''=''1'

里边的单引号已经被转换成普通的单引号了。  
什么时候用参数化查询？  
当不能保证不会受到漏洞攻击的时候，都应该用参数化编程。

[20160501182433910]: /images/20220724/7f286e36a9fd40ba92db5c39d9f85c0a.png