2

Estou tentando criar uma forma de automatizar o negocio de adicionar parametros na query para prevenir sql inject, mas não funciona!

Esse é meu código:

public static MySqlCommand criarQueryComParametros(string tabela, string condicao)
{
    List<string> parametros = Regex.Split(condicao, "'(.*?)'").ToList();
    parametros = parametros.Where(x => parametros.IndexOf(x) % 2 == 1).ToList();
    string sql = "SELECT * FROM " + tabela + " WHERE " + remodelarCondicao(condicao, parametros);
    MySqlCommand query = new MySqlCommand(sql, Database.conexao);
    montarListaDeParametros(condicao, parametros, query);
    return query;
}

public static void montarListaDeParametros(string condicao, List<string> parametros, MySqlCommand query)
{
    for (int i = 0; i < parametros.Count; i++)
    {
        query.Parameters.AddWithValue($"@p{i}p", parametros[i]);
    }
}

public static string remodelarCondicao(string condicao, List<string> parametros)
{
    for (int i = 0; i < parametros.Count; i++)
    {
        condicao = condicao.Replace(parametros[i], $"@p{i}p");
    }
    return condicao;
}

Parâmetros que estou passando:

criarQueryComParametros("empresa", "email='teste@teste' AND senha='202CB962AC59075B964B07152D234B70'");

O que acontece é que ele não está montando os parâmetros, quando eu dou um Console.Log(query.CommandText), ele retorna:

SELECT * FROM empresa WHERE email='@p0p' AND senha='@p1p

O que eu posso estar fazendo de errado? Existe alguma maneira melhor para fazer isso?

2
  • Já pensou em usar um SQL Builder?
    – gato
    Commented 17/10/2017 às 0:38
  • @gato Não, mas parece ser exatamente o que eu preciso kkk. Mas no caso, dessa vez preciso fazer na mão mesmo. =(
    – Francisco
    Commented 17/10/2017 às 0:58

2 Respostas 2

4

Adaptei este método para você MontarSqlComCondicoes() e você pode tomar como seu ponto de partida.

Veja:

static string MontarSqlComCondicoes(string tabela, string c1, string c2, bool and)
{
    var condicoes = new List<string>();

    var sql = new StringBuilder();
    sql.Append("select * from")
        .Append(" ")
        .Append(tabela)
        .Append(" ");

    if (!string.IsNullOrWhiteSpace(c1))
    {
        condicoes.Add(c1);
    }

    if (!string.IsNullOrWhiteSpace(c2))
    {
        condicoes.Add(c2);
    }       

    if (condicoes.Any())
    {
        sql.Append("where")
            .Append(" ");

        if (and) sql.Append(string.Join(" and ", condicoes.ToArray()));
        else sql.Append(string.Join(" or ", condicoes.ToArray()));              
    }       

    return sql.ToString();
}

Veja um exemplo de implementação dele:

var sql = MontarSqlComCondicoes("pessoa", "nome = @nome", "idade > @idade", true);

Saída:

select * from pessoa where nome = @nome and idade > @idade

Vale ressaltar que, esta rotina não vai te prevenir de um ataque de SQL Injection, talvez o uso das condições parametrizadas podem até dificultar um pouco, porém, há outras vulnerabilidades que podem ser exploradas no código, por isso recomento que você o adapte de acordo com sua necessidade. E ainda vale a minha recomendação de usar um SQLBuilder, claro, para seus projetos futuros ;).

Veja funcionando no .Net Fiddle.

Fonte: https://stackoverflow.com/a/17321354/5429980

2

Se a intenção e prevenir SQL Injection, você está no caminho errado.

O MySQL Driver for .NET já possui todos os recursos necessário para isso, basta usar corretamente.

No driver do MySQL possui o recurso de MySQLParameter, e isso é mais que o suficiente para prevenir SQL Injection, veja:

var sql = "SELECT Id, Nome, Email FROM Empresa WHERE Email=@Email AND Senha=@Senha";

var cmd = new MySqlCommand(sql, conn);
cmd.Parameters.AddWithValue("@Email", email);
cmd.Parameters.AddWithValue("@Senha", senha);

 var dr = cmd.ExecuteReader();

Qualquer coisa muito diferente disso, será overheading, ou seja, irá aumentar a complexidade, sem trazer relevantes benefícios.

Agora, se realmente quiser melhorar o consumo de dados entre sua aplicação e a persistência de dados - mysql, sql, oracle, etc - consider usar um Micro ORM - Object Relational Mapping.

Dapper, por StackExchange

public class Cachorro
{
    public int? Idade { get; set; }
    public Guid Id { get; set; }
    public string Nome { get; set; }
    public float? Peso { get; set; }

    public int PropriedadeIgnorada { get { return 1; } }
}            

var guid = Guid.NewGuid();
var cachorro = connection.Query<Cachorro>("select Idade = @Age, Id = @Id", new { Idade = (int?)null, Id = guid });

OrmLite, por ServiceStack

var dbFactory = new OrmLiteConnectionFactory(
    ":memory:", SqliteDialect.Provider);
using (IDbConnection db = dbFactory.Open())
{
    db.DropAndCreateTable<Todo>();
    var todo = new Todo
    {
        Content = "Learn OrmLite",
        Order = 1,
    };

    db.Save(todo);

    var savedTodo = db.SingleById<Todo>(todo.Id);
    savedTodo.Content = "Updated";
    db.Save(savedTodo);

    "Updated Todo:".Print();
    db.Select<Todo>(q => q.Content == "Updated").PrintDump();

    db.DeleteById<Todo>(savedTodo.Id);

    "No more Todos:".Print();
    db.Select<Todo>().PrintDump();
}
2
  • Eu estou tentando fazer o que você mostrou no 1 exemplo, mas de forma automatizada rs
    – Francisco
    Commented 17/10/2017 às 11:48
  • Mas não deve. Consumir queries ou procedures são formas específicas, e não genéricas. A query é estática, portanto o consumo também deve ser. Senão vc acaba investindo muito tempo e energia em algo que não vai te retornar o calor esperado. Se quer mais fluência, parta para ORMs Commented 17/10/2017 às 12:42

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .