SQL Server: Sanificazione @param contro gli attacchi di iniezione

Question

Per amor di discussione, diciamo solo che ho devo creare una variabile locale contenente una query SQL che ha un inserto:

DECLARE @insert NVARCHAR(MAX) 
SELECT @insert = 'INSERT INTO [dbo].[' + @table + '] VALUES... 
EXEC (@insert) 

Questo inserto è anche andando a contenere un valore di colonna:

DECLARE @insert NVARCHAR(MAX) 
SELECT @insert = 
    'INSERT INTO [dbo].[' + @table + '] VALUES (N''' + @message + ''')' 
EXEC (@insert) 

Ora, sono ovviamente preoccupato per un attacco di iniezione, e vorrei assicurare un valore di quel messaggio @ non è possibile effettuare il valore di @ inserto dannoso o malformati come una query a exec .

Questo ci porta alla mia domanda: è sufficiente l'escape dei caratteri in @message? Ci sono altri personaggi che potrebbero apparire in @message che potrebbero sfuggire?

Esempio:

DECLARE @insert NVARCHAR(MAX) 
SELECT @message = REPLACE(@message,'''','''''') 
SELECT @insert = 
    'INSERT INTO [dbo].[' + @table + '] VALUES (N''' + @message + ''')' 
EXEC (@insert) 

(quando dico "devono", questo è perché la mia domanda è in una stored procedure, e questa stored procedure accetta @Table, che è la tabella di destinazione di INSERT in. Non sono interessato a discutere la mia architettura o perché la tabella in INSERT è specificata "dinamicamente" tramite un parametro di procedura. Evita di commentare questo a meno che non ci sia un altro modo oltre a EXEC() in una query per specificare una tabella per INSERIRE quando il nome della tabella viene ricevuto come parametro di procedura.)

Answer 1

Utilizzare sp_executesql e quotename() integrato. Questo articolo, The Curse and Blessings of Dynamic SQL, è praticamente il riferimento definitivo.

Answer 2

Piuttosto che chiamare EXEC (@somesql), suggerisco di utilizzare lo sp_executesql stored procedure. In particolare, questo consente di passare i parametri e il sistema verificherà che i parametri siano validi.

Answer 3

È possibile prima eseguire una query delle informazioni sullo schema con il normale T-SQL e assicurarsi che il nome della tabella esista prima. In questo modo, se è SQL malformato, non verrà eseguito come codice. Sarà solo un nome di tabella VARCHAR.

DECLARE @Table AS VARCHAR(MAX) 
DECLARE @Exists AS BIT 

SET @Table = 'Vicious malformed dynamic SQL' 

SELECT @Exists = COUNT(TABLE_NAME) 
FROM INFORMATION_SCHEMA.TABLES 
WHERE TABLE_NAME = @Table 

IF (@Exists = 1) 
    BEGIN 
    PRINT 'Table exists' 
    -- Execute dynamic SQL. 
    END 
ELSE 
    PRINT 'Invalid table' 

(O semplicemente utilizzare IF EXISTS (SELECT ....))

Answer 4

A quanto pare c'è un limite a 128 di lunghezza per QUOTENAME(), anche nel 2008, secondo la mia prova, dal momento che si aspetta uno SQL identificatore. Il riferimento suggerisce di creare una funzione quotestring(), che fa la stessa cosa come:

REPLACE(@variable,'''','''''') 

Pertanto propongo che la risposta è di creare una funzione di REPLACE() di cui sopra, in questo modo:

CREATE FUNCTION quotestring(@string nvarchar(MAX)) 
RETURNS nvarchar(MAX) AS 
BEGIN 
    RETURN(REPLACE(@string,'''','''''')) 
END 

... A meno che non abbia frainteso qualcosa.