我的 ASP.NET 网站受到 SQL 注入攻击

Question

黑客到达了我的数据库用户列表和其他表。

首先，我通过使用在所有事务中使用参数化命令

command.Parameters.Add("@Parameter1", SqlDbType.NVarChar).Value

所有事务都是存储过程。

我正在将每个站点导航插入到数据库中。具体数据库表如下；

ID int (PK)
UserID int (null)
URL nvarchar(500)
IPAddress nvarchar(25)
CreatedAt datetime

项目UserID从代码中获取信息是否打开会话。

CreatedAt是DateTime.UtcNow。

IPAddress 代码如下：

public static string GetIPAddress(HttpContext context)
{
    string ipAddress = context.Request.ServerVariables["HTTP_X_FORWARDED_FOR"];

    if (!string.IsNullOrEmpty(ipAddress))
    {
        string[] addresses = ipAddress.Split(',');
        if (addresses.Length != 0)
            return addresses[0];
    }

    return context.Request.ServerVariables["HTTP_CLIENT_IP"] ?? context.Request.ServerVariables["REMOTE_ADDR"];
}

但是URL从网站当前 URL 填充所有查询字符串。( Request.RawUrl)

通常，当用户访问该站点时，日志会被插入到数据库中，如上所述。以下记录插入正常。示例数据如下所示：

ID      UserID    URL                        IPAddress      CreatedAt
1        NULL     /User                      1.22.33.444    2019-12-12 16:22:33.441
2        NULL     /User/MyOrders             1.22.33.444    2019-12-12 16:24:33.441
3        NULL     /User?utm_source=email     1.22.33.444    2019-12-12 16:29:33.441

黑客以某种方式将记录插入数据库，如下所示：

ID      UserID    URL                        IPAddress                     CreatedAt
4        NULL     /User                      (select(0)from(select(sle     2019-12-12 17:22:33.441
5        NULL     /User/MyOrders             -1; waitfor delay '0:0:9'     2019-12-12 17:24:33.441
6        NULL     /User?utm_source=email     prvNA0R6'; waitfor delay      2019-12-12 17:29:33.441
7        NULL     /User?utm_source=email     -1' OR 2+198-198-1=0+0+0+     2019-12-12 17:29:33.441

如您所见，IPAddress列是 SQL 查询攻击。IPAddress字段限制为 25 个字符的长度。以下 SQL 查询文本被 SQL 截断。

在我看来，黑客通过更改URL或IPAddress作为 SQL 脚本使用 SQL 注入来获取数据库记录。

知道黑客如何到达我的数据库以及从现在开始如何避免攻击吗？

编辑

存储过程如下：

create procedure SP_InsertLogNavigation
    @URL nvarchar(150),
    @UserID int,
    @IPAddress nvarchar(25),
    @CreatedAt datetime
as
    insert into LogNavigation (URL, UserID, IPAddress, CreatedAt)
    values (@URL, @UserID, @IPAddress, @CreatedAt)

存储过程的用法如下：

public bool Save(LogNavigation logNavigation)
{
    int affectedRows = 0;

    InitializeSqlFields("SP_InsertLogNavigation");

    command.Parameters.Add("@URL", SqlDbType.NVarChar).Value = logNavigation.URL;
    command.Parameters.Add("@UserID", SqlDbType.Int).Value = Validation.IsNull(logNavigation.UserID);
    command.Parameters.Add("@IPAddress", SqlDbType.NVarChar).Value = logNavigation.IPAddress;
    command.Parameters.Add("@CreatedAt", SqlDbType.DateTime).Value = logNavigation.CreatedAt;

    try
    {
        Connect();

        affectedRows = command.ExecuteNonQuery();
    }
    catch (SqlException)
    {
    }
    finally
    {
        Disconnect();
    }

    return affectedRows != 0;
}

Answer 1

所以我断言你实际上并没有屈服于 SQL 注入攻击。如果您仅使用参数化查询，则攻击者已尝试获取访问权限但失败了。

但是，您的表之所以提出攻击尝试是与这些代码行有关：

string ipAddress = context.Request.ServerVariables["HTTP_X_FORWARDED_FOR"];

return context.Request.ServerVariables["HTTP_CLIENT_IP"] ?? context.Request.ServerVariables["REMOTE_ADDR"];

您必须了解，客户几乎可以完全控制提交到您网站的标题。攻击者可以将标头修改为他们想要的任何值。

这些参数由客户端在其请求中提供：

HTTP_X_FORWARDED_FOR
REMOTE_ADDR
HTTP_CLIENT_IP

在您的案例中，攻击者提供了包含 SQL 注入代码的欺骗标头，您已将其忠实地放入数据库的 IP 地址列中。

在评论中编辑以下 OP 查询

OP问：

太好了，但我只有一个问题。她/他如何将超过 25 个字符传递到我的服务器端

请求头没有指定的大小限制，尽管它们是由各种实现应用的实际限制（即 Apache 中的 8Kb）。客户端可以发送任意长度的请求头，直到您的网站主机软件允许的长度。

但是，由于您的 SP 配置了一个最大长度为 25 个字符的参数，溢出的文本在持久保存到数据库时会被截断。