![]() |
Datenbank: ABSDatabase • Version: 7.93 • Zugriff über: ABSQuery
SQL Injection verhindern?
Hallo,
durch die Nutzung von SQL für meine Datenbank habe ich überlegt, ob man eine SQL Injection erkennen kann. Gibt es besondere Strings, die man z.B. bei einer Suche filtern sollte? LG :-) |
AW: SQL Injection verhindern?
Moin...:P
Ja kann man. Wenn man ausschließlich Parameter verwendet. :thumb:
Delphi-Quellcode:
Qry.SQL.Text := 'select Bla from Blubb where Blubchen = :BLA';
Qry.ParamByName('BLA').AsString := 'Blubb'; Qry.Open; |
AW: SQL Injection verhindern?
Auf jeden Fall ein wichtiges und auch kein triviales Thema.
Injection bedeutet ja, dass irgendetwas in Deinen SQL-String eingefügt wird, was dann als zusätzlicher Befehl missbraucht wird. Als Beispiel hast Du ein EditFeld und die Eingabe darin soll als Suchstring interpretiert werden, gedacht ist dann sowas wie:
Code:
Und wenn im Edit1 ein 'Hansen steht, dann würde daraus ein:
'select * from Personen where Name = '+QuotedStr(Edit1.text)
Code:
So weit so gut, aber kommt über das Editfeld jetzt aber noch ein Hochkomma und ein Semikolon rein, dann könnte das dazu führen, dass ein zusätzlicher Befehl ausgeführt wird:
'select * from Personen where Name = 'Hansen';
Code:
Hier würde jetzt also der zusätzliche Befehl DROP TABLE ... ausgeführt werden können.
'select * from Personen where Name = 'Hansen'; DROP TABLE blablabla;'';
Das war jetzt, sehr simpel, ein mögliches Szenario zusammengetippt. |
AW: SQL Injection verhindern?
|
AW: SQL Injection verhindern?
@mom: NEIN!
QuotedStr ist für die Syntax von Pascal/Delphi-Strings, dass es zufällig "oftmals" für SQL-Strings ausreicht, verhindet keine Injection/Maskierungsfehler. Jede SQL-DB und SQL-API/Komponente hat irgendwo eine passende "Escape"-Funktion. |
AW: SQL Injection verhindern?
Zitat:
P.S.: ![]() |
AW: SQL Injection verhindern?
Danke für die Hinweise. Bitte nicht streiten. :-)
@haentschman, eine Nachfrage zum Syntax. Warum wird bei einer Suche ein : vor den Suchbegriff gestellt (:Bla)? Eine weitere Frage bezüglich SQL injection: würde es ausreichen, Semikolons aus einem Suchbegriff zu entfernen? |
AW: SQL Injection verhindern?
Zitat:
|
AW: SQL Injection verhindern?
Zitat:
Da sind wir wieder am Anfang: Immer Parameter! :warn: :zwinker: Zitat:
Delphi-Quellcode:
...Parameter beginnen immer mit :
where Blubchen = :BLA
Der Name des Parameters ist beliebig. Ich habe mich für 3 Großbuchstaben entschieden...:wink: |
AW: SQL Injection verhindern?
Zitat:
Delphi-Quellcode:
Machst du das:
Query.SQL.Text := 'select * from Personen where Name = '+QuotedStr(Edit1.Text);
Delphi-Quellcode:
Dadurch ist dein Code geschützt vor Injections. Also nie einen SQL String direkt mit den Eingaben eines Users zusammenbauen! Was da im Edit.Text drin steht ist dann vollkommen egal, da dieses nicht mehr Bestandteil des SQL ist und somit auch nicht ausgeführt wird.
Query.SQL.Text := 'select * from Personen where Name = :NAME';
Query.ParamByName('NAME').AsString := Edit1.Text; |
AW: SQL Injection verhindern?
Zitat:
Hallo und Danke. Ich verstehe das leider immer noch nicht. Wenn ich einen Suchstring habe, dann sollte doch auch damit gearbeitet werden? Wie wird denn :NAME initialisiert? LG :-) Selbst die Erklärung von componentace hilft mir nicht, es zu verstehen: ![]() |
AW: SQL Injection verhindern?
Ein (SQL-)Parameter ist ein/eine Platzhalter/Variable.
Es wird keine Abfrage auf einen aktuellen Wert gemacht sondern auf den Parameter NAME
Delphi-Quellcode:
Den Wert wird hiermit gesetzt:
Query.SQL.Text := 'select * from Personen where Vorname = :NAME';
Delphi-Quellcode:
Nun werden alle Personmen mit dem Vornamen "Egon" angezeigt.
Query.ParamByName('NAME').AsString := 'Egon';
Query.Open;
Delphi-Quellcode:
Nun alle Susis.
Query.ParamByName('NAME').AsString := 'Susi';
Query.Open; |
AW: SQL Injection verhindern?
[QUOTE=NoGAD;1504988]
Zitat:
Bei diesem Verfahren kannst Du nicht nur den Wert angeben, sondern auch den Typ berücksichtigen, String, Datum, Zahl .. schau es Dir an. Damit erschlägst Du auch gleich Konvertierungsprobleme, Quoting und eben Injection. |
AW: SQL Injection verhindern?
Zitat:
Die Parameter werden über die Params Eigenschaft des TABSQuery Objekts definiert. Dort können auch weitere Eigenschaften wie zB der Datentyp vorgegeben werden. |
AW: SQL Injection verhindern?
Ganz, ganz herzlichen Dank, dass ihr euch so viel Mühe mit mir gebt.
Trotzdem geht es mir nicht in den Kopf, warum mittels Parameter ein Code nicht ausgeführt werden kann..
Delphi-Quellcode:
Statt 'Egon' würde dann eigentlich die Suchanfrage als Variable eingesetzt werden?
Query.SQL.Text := 'select * from Personen where Vorname = :NAME';
Query.ParamByName('NAME').AsString := 'Egon'; Query.Open;
Delphi-Quellcode:
Query.ParamByName('NAME').AsString := Edit1.Text;
Query.Open; ??? Und in diesem Fall würde ein Datenbankbefehl ins Leere laufen? LG :-) |
AW: SQL Injection verhindern?
Zitat:
Wenn überall davor gewarnt wird, Injections zu vermeiden, dann ist das so ähnlich, wie die Warnung vor dem Umspannhäuschen mit Schildern: Achtung Starkstrom. Man könnte argumentieren, die Techniker gehen ja auch da rein und kommen lebend wieder raus. Tatsächlich! Und niemand weiß, was in den Häuschen geschieht. Bei SQL ist das anders. Und ehrlich, wenn es Dir bis jetzt egal war oder zu kompliziert mit SQL, willst Du 1000 Details wissen? Allein mein Hinweis, dass Du damit Typen behandeln kannst, erklärt für alle Typen außer Text, dass Injection nicht möglich ist. Du kannst kein SQL Text in einen Parameter vom Typ Integer packen. Das fliegt Dir schon im Client um die Ohren. Bleibt der Text Typ, also Dein Beispiel mit Egon. Ich kann die Frage verstehen. Ich kann es nicht für alle DB sagem (z.B. ABS habe ich einmal im Leben benutzt und es interessiert mich nicht. Für mich ist es so: ist ein guter Schritt weg von BDE, aber auch zu kurz gesprungen. Naja ist auch abhängig vom Einsatzzweck), aber die Parameter Auflösung geschieht erst auf dem Server (den es bei ABS so nicht gibt). Wenn das unbefüllte Statement beim Server ankommt, geschehen viele Dinge, die einen theoretisch nicht interessieren müssen (Blackbox Prinzip). Oft ergibt sich das Interesse erst zwangsweise, bei Fehlern oder schlechter Performance. Eine Sache ist die Query Planung. Der Server analysiert, wie er die Abfrage am schnellsten ausführen kann. Dabei spielen z.B. vorhandene Indizes eine Rolle. Diese Query Planung kostet wiederum Zeit. Um die zu sparen, geschieht zuerst etwas ziemlich billiges. Der Server schaut in der Liste der bereits geplanten Queries, ob er die gleiche Query bereits geplant hat. Dabei wird ein simpler Textvergleich z´wischen alten und der neuen Query durchgeführt. Eine nicht-parametrierte Query wird selten zu einem Treffer führen bei dieser Suche. Außer es wird ständig der gleiche Egon gesucht. Steht statt Egon eine feste Variable in der Query, funktioniert der Mechanismus bestens. Die neue wird bei den geplanten Queries gefunden, Planung bereits vorhanden, Analyse fällt weg. Erst jetzt wird der übegebene Parameter eingesetzt. An dieser Stelle liegt es in den Händen des Serverherstellers, wie er mit dem Problem Injection umgeht. Die haben da auch kein Bock drauf. Du kannst das alles ergründen und ausprobieren für ABS oder andere Anbieter oder Du kannst die Spielregeln akzeptieren. Es gibt andere Mechanismen, die Injection verhindern und es gibt noch andere Vorteile bei parametrierten Queries. Zu allem gibt es massig Infos im Internet und wahrscheinlich auch für ABS. Für sowas sucht man sich ein Tutorial oder die Handbücher raus und schaut sich die Erklärungen an oder fragt in den Anbieterforen. Sogar die Kommandozeilen Clients der Anbieter erlauben es, parametrierte Queries zu starten. Das gibt es nicht zum Spaß. Und bei Delphi hat man sogar etwas Komfort bei der Befüllung. |
AW: SQL Injection verhindern?
Recht herzlichen Dank!
Ich werde mich belesen. Lg |
AW: SQL Injection verhindern?
Hallo,
Zitat:
Zuerst wird der SQL-Befehl übermittelt und danach die Parameter. Das heißt: 1. SQL-Befehl analysieren, (Prepare) 2. Werte der Parameter einfügen, und das Drop Table ist dann kein Befehl mehr, sondern gehört zum Where. Where "Egon;Drop Table1" wird dann also ins Leere laufen Ein Select Id From Person Where Name="Egon"; Drop Table Tabelle1 ist was gaaanz anderes. Zuerst das Select, dann das Drop Durch die explizite Benutzung der Parameter teilt man der DB also mit, dass man (hier) ein Select machen will. |
AW: SQL Injection verhindern?
Danke Heiko,
so schön erklärt ist es endlich verständlich. Die reinen Abhandlungen, wie was gemacht wird, ist meistens schön und gut, der Hintergrund fehlt mir leider in vielen Fällen. LG und ein schönes Wochenende :-) |
Alle Zeitangaben in WEZ +1. Es ist jetzt 22:51 Uhr. |
Powered by vBulletin® Copyright ©2000 - 2025, Jelsoft Enterprises Ltd.
LinkBacks Enabled by vBSEO © 2011, Crawlability, Inc.
Delphi-PRAXiS (c) 2002 - 2023 by Daniel R. Wolf, 2024 by Thomas Breitkreuz