1

Estou desenvolvendo um aplicativo em MVC-5 e li várias matérias sobre SQL Injection.

Gostaria de saber se tenho que tomar qualquer medida de segurança ou modificar meus comandos selects, ou se na verdade o MVC-5 já dispões de blindagem contra esta situação.

Em todo o meu projeto estou utilizando o formato abaixo para selecionar dados das minhas tabelas:

string query = "SELECT * FROM TABELA WHERE CHAVE = '"+CH+"'";
            using (var connection = new SqlConnection(ConfigurationManager.ConnectionStrings["ConnectionString"].ConnectionString))
            using (var command = new SqlCommand(query, connection))
            {
                connection.Open();
                using (var reader = command.ExecuteReader())
3
  • 1
    Esse código não tem nada de ASP.Net MVC. Mas ele está totalmente suscetível a injeção de qualquer coisa. Acho que a pergunta é bem ampla e precisaria de mais foco. Se usar o MVC corretamente, se usar o ADO.Net ou EF ou outro mecanismo de acesso de forma correta, aí não terá problemas de SQL Injection. Script injection depende de outros fatores. Veja se acha alguma coisa útil. pt.stackoverflow.com/search?q=sql+injection Mas aconselho fazer um estudo mais estruturado sobre desenvolvimento de software como um todo.
    – Maniero
    5/01/2017 às 21:52
  • Acredito que um meio de prevenir é usando stored procedures ou ORMs (com baixa performance em comparação a stored procedure). 5/01/2017 às 21:54
  • 1
    StoredProcedure?? O Ado.net tem a feature há anos de AddParameter que já resolve esse problema de sql injection.
    – jaspion
    6/01/2017 às 13:15

2 Respostas 2

2

Acho que está acontecendo uma confusão entre as tecnologias.

ASP.NET MVC é um framework para WEB, como tal ele é capaz de proteger contra:

  • HTML Injection, quando alguém coloca tags HTML em um campo de texto por exemplo.
  • Script Injection, quando alguém coloca um tag script em um campo de texto por exemplo.

Para esses dois, a validação é dupla, ele não deixa entrar esse tipo de string, mas se você forçar ele a permitir ele fará HTML Encoding quando for mostrar na tela para garantir que esses tags apareçam em texto plano e não HTML, tornando-os inofencivos.

Ele ainda tem proteção contra cross-scripting, usando um ValidationToken.

Tudo isso tem a ver com uma interface WEB, que é o que o MVC é.

Já SQL Injection, quem pode te prover uma segurança já pronta é o Entity Framework. É muito recomendável usá-lo. Ele vai sanitarizar qualquer valor antes de colocar numa query. Inclusive você não precisa mais fazer querys, apenas usar lambda expressions.

Seu exemplo ficaria: var dado = db.Tabela.Where(x=> x.Chave == CH).SingleOrDefault();

Ele vai limpar o valor de CH para evitar caracteres considerados perigosos como comentários SQL, aspas simples e etc...

Mas existem muitas formas de se proteger, no entanto, a maioria não é "pré-pronta".

Espero que ajude...

1

Ao invés de concatenar strings para formar sua query. utilize Parameters.Add do SqlCommand para previnir Sql Injection.

Segue exemplo abaixo aplicado ao seu código:

string query = "SELECT * FROM TABELA WHERE CHAVE = @CH";

using (var command = new SqlCommand(query, connection))
{
    SqlParameter param  = new SqlParameter();
    param.ParameterName = "@CH";
    param.Value         = CH;

    command.Parameters.Add(param);        

    connection.Open();

    using (var reader = command.ExecuteReader())

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .