名前付きパラメータを使用しないSQL Serverのすべてのクエリを無効にしますか？

Question

名前付きパラメータを使用しないすべてのクエリを単に拒否するだけで、SQLインジェクションのすべての脅威を一度にすべて停止することができます。それを行うためにSQL Serverを構成する方法は？または、SQLパーサ全体を記述せずに各クエリを検査することで、アプリケーションレベルでそれを強制する方法はありますか？ありがとう。

Answer 1

これを行うには、いくつかの方法があります。 OMG Poniesには最良の答えがあります。データベースに対して直接SQL文を許可せず、代わりにSQL Serverが提供できるツールとセキュリティを活用してください。

別の方法として、すべてのクエリが通過する必要がある追加の層を追加することができます。要するに、すべてのクエリ（SOAアーキテクチャ）をSQL Serverに渡すためのクエリを評価する新しいアプリケーションに渡します。私は、サイトが持っていたSQLインジェクションの問題に反応して、まさにある企業がこれを行うのを見てきました。

もちろん、SQLインジェクションは潜在的な問題の1つに過ぎないため、これは恐ろしいことです。

SQLインジェクション以外にも、サイト自体にクラックが発生した場合の問題があります。新しいページをWebサーバーに書き込むことができれば、関連するデータベースサーバーに任意のクエリを渡すことは簡単になります。これは、あなたが配置できるコードレベルのものを簡単にバイパスします。攻撃者はselect * from ...またはtruncate table ... Heckと書くことができます。内部の人は、サイトの資格情報を使用してSQL Serverに直接接続し、必要なクエリを実行するだけです。

重要なのは、SQL Serverに組み込まれたセキュリティを活用してダイレクト・テーブル・アクセスを防止すると、ストアド・プロシージャを介してサーバーに接続しようとするすべての人が利用できるあらゆるアクションを制御できるということです。

Answer 2

1. （S）テーブルに対してDELETE// UPDATE/INSERTを選択することができるようにする役割のために許可を削除
2. グラントは、ストアドプロシージャ/機能のための役割に/実行など
3. アソシエイト関係あなたが保護したいデータベースユーザへのロール

アクセスを許可する権限を持つアカウントは停止しませんが、ロールに関連付けられているユーザは停止します（ユーザーごとに）ストアドプロシージャ/関数/ etcの外でクエリを実行することができなくなります。exi st。

Answer 3

どのようにチェックしたいですか？クエリには、クエリに簡単に追加できるような一定の値が含まれることがあります。

SELECT NAME FROM SOMETABLE WHERE ID = :ID AND LANGUAGEID = 1 

IDがパラメータであるが、言語IDではありません：たとえば、私はマルチリンガルであることを準備されたデータベースを持って、すべてではないコードがあるので、私のクエリは次のようになります。このクエリはブロックする必要がありますか？

名前付きパラメータを使用しないクエリをブロックするように求められます。それは容易に強制することができます。パラメータを指定しないクエリをブロックするだけです。アプリケーション層でこれを行うことができます。しかし、上記のようなクエリをブロックするのは難しく、一方の値はパラメータであり、もう一方の値はパラメータではありません。あなたはそれを検出するためにそのクエリを解析する必要がありますが、それは難しいでしょう。

SQL Serverには、これを行うための機能が組み込まれていないと思います。