Evitando SQL Injection Erros comuns: Não fazer validação da entrada de dados no formulário permitindo caracteres inválidos; Construir instruções SQL diretamente da entrada do usuário; Permitir que mensagens de erros mostrem informações sobre a estrutura dos dados; Como evitar: Estabeleça uma política de segurança rígida e criteriosa limitando o acesso dos seus usuários. Isto quer dizer que você deve dar somente os poderes necessários aos seus usuários. Não de acesso de escrita a tabelas e dê somente acesso as tabelas que o usuário vai precisar. Fazer validação das entradas de dados evitando caracteres inválidos como: (') , (--) e (;) nem palavras reservadas como insert , drop , delet. Nunca concatene entrada de usuário que não seja validada. A concatenação de cadeia de caracteres é o ponto principal de entrada de injeção de script; Alguns exemplos de funções que ajudam a melhorar a segurança contra SQL injection: - Substituindo o apóstrofe(') pelo duplo apóstrofe ('') <% Function ExpurgaApostrofe(texto) ExpurgaApostrofe = replace( texto , "'" , "''") End function %>
Erros comuns:No fazer validao da entrada de dados no formulrio
permitindo caracteres invlidos;Construir instrues SQL diretamente
da entrada do usurio;Permitir que mensagens de erros mostrem
informaes sobre a estrutura dos dados;Como evitar:Estabelea uma
poltica de segurana rgida e criteriosa limitando o acesso dos seus
usurios. Isto quer dizer que voc deve dar somente os poderes
necessrios aos seus usurios. No de acesso de escrita a tabelas e d
somente acesso as tabelas que o usurio vai precisar.Fazer validao
das entradas de dados evitando caracteres invlidos como: (') , (--)
e (;) nem palavras reservadas como insert , drop , delet.Nunca
concatene entrada de usurio que no seja validada. A concatenao de
cadeia de caracteres o ponto principal de entrada de injeo de
script;
Alguns exemplos de funes que ajudam a melhorar a segurana contra
SQL injection:- Substituindo o apstrofe(') pelo duplo apstrofe
('')
- Rejeitando os dados maliciosos:
A Microsoft lanou um kit de ferramentas que pretende auxiliar
desenvolvedores e administradores de websites a bloquear e
erradicar a recente onda de ataques de SQL Injection (Injeo SQL).
As ferramentas, que so voltadas para desenvolvedores web e
administradores de TI, buscam auxiliar a identificao de pontos
frgeis em scripts ASP que poderiam ser explorados em um ataque de
injeo SQL.As ferramentas so:Scrawlr - Examina os arquivos do site e
simultaneamente analisa os parmetros usados em cada pgina buscando
por vulnerabilidades do injeo SQL. Microsoft Source Code Analyzer
for SQL Injection - Chamada de MSCASI, esta uma ferramenta de
anlise esttica para anlise dos cdigos em ASP. Para execut-la
necessrio ter acesso ao cdigo fonte da pgina. URLScan 3.1 - Esta
ferramenta restringe os tipos de solicitaes HTTP que o IIS
(Internet Information Services) ir processar. Ao bloquear alguns
tipos especficos de solicitaes, a ferramenta pode prevenir certos
ataques.
