SQL Injection verhindern?

[NoGAD]

Hallo,

durch die Nutzung von SQL für meine Datenbank habe ich überlegt, ob man eine SQL Injection erkennen kann.

Gibt es besondere Strings, die man z.B. bei einer Suche filtern sollte?

LG

[haentschman]

Moin...

Ja kann man. Wenn man ausschließlich Parameter verwendet.

Delphi-Quellcode:

Qry.SQL.Text := 'select Bla from Blubb where Blubchen = :BLA';
Qry.ParamByName('BLA').AsString := 'Blubb';
Qry.Open;

[stifflersmom]

Auf jeden Fall ein wichtiges und auch kein triviales Thema.

Injection bedeutet ja, dass irgendetwas in Deinen SQL-String eingefügt wird, was dann als zusätzlicher Befehl missbraucht wird.

Als Beispiel hast Du ein EditFeld und die Eingabe darin soll als Suchstring interpretiert werden, gedacht ist dann sowas wie:

Code:

'select * from Personen where Name = '+QuotedStr(Edit1.text)

Und wenn im Edit1 ein 'Hansen steht, dann würde daraus ein:

Code:

'select * from Personen where Name = 'Hansen';

So weit so gut, aber kommt über das Editfeld jetzt aber noch ein Hochkomma und ein Semikolon rein, dann könnte das dazu führen, dass ein zusätzlicher Befehl ausgeführt wird:

Code:

'select * from Personen where Name = 'Hansen'; DROP TABLE blablabla;'';

Hier würde jetzt also der zusätzliche Befehl DROP TABLE ... ausgeführt werden können.

Das war jetzt, sehr simpel, ein mögliches Szenario zusammengetippt.

[haentschman]

Lesestoff: https://de.wikipedia.org/wiki/SQL-Injection

[himitsu]

@mom: NEIN!

QuotedStr ist für die Syntax von Pascal/Delphi-Strings,
dass es zufällig "oftmals" für SQL-Strings ausreicht, verhindet keine Injection/Maskierungsfehler.

Jede SQL-DB und SQL-API/Komponente hat irgendwo eine passende "Escape"-Funktion.

[Frickler]

Zitat von himitsu:

@mom: NEIN!

QuotedStr ist für die Syntax von Pascal/Delphi-Strings,
dass es zufällig "oftmals" für SQL-Strings ausreicht, verhindet keine Injection/Maskierungsfehler.

Hat er doch gar nicht behauptet.



P.S.: https://xkcd.com/327/

[NoGAD]

Danke für die Hinweise. Bitte nicht streiten.

@haentschman, eine Nachfrage zum Syntax. Warum wird bei einer Suche ein : vor den Suchbegriff gestellt (:Bla)?

Eine weitere Frage bezüglich SQL injection: würde es ausreichen, Semikolons aus einem Suchbegriff zu entfernen?

[mkinzler]

Zitat:

Warum wird bei einer Suche ein : vor den Suchbegriff gestellt (:Bla)?

Kennzeichnet den Parameter/Platzhalter

[haentschman]

Zitat:

würde es ausreichen, Semikolons aus einem Suchbegriff zu entfernen

...nein.

Da sind wir wieder am Anfang: Immer Parameter!

Zitat:

Warum wird bei einer Suche ein : vor den Suchbegriff gestellt (:Bla)?

where Blubchen = :BLA ...Parameter beginnen immer mit :

Der Name des Parameters ist beliebig. Ich habe mich für 3 Großbuchstaben entschieden...

[Rolf Frei]

Zitat von NoGAD:

Danke für die Hinweise. Bitte nicht streiten.

@haentschman, eine Nachfrage zum Syntax. Warum wird bei einer Suche ein : vor den Suchbegriff gestellt (:Bla)?

Eine weitere Frage bezüglich SQL injection: würde es ausreichen, Semikolons aus einem Suchbegriff zu entfernen?

Aus diesem Code:
Query.SQL.Text := 'select * from Personen where Name = '+QuotedStr(Edit1.Text); Machst du das:

Delphi-Quellcode:

Query.SQL.Text := 'select * from Personen where Name = :NAME'; 
Query.ParamByName('NAME').AsString := Edit1.Text;

Dadurch ist dein Code geschützt vor Injections. Also nie einen SQL String direkt mit den Eingaben eines Users zusammenbauen! Was da im Edit.Text drin steht ist dann vollkommen egal, da dieses nicht mehr Bestandteil des SQL ist und somit auch nicht ausgeführt wird.