데이터를 데이터베이스에 입력 : SQL injection 방지

Question

최근 양식 제출을 통해 SQL 데이터베이스에 데이터를 삽입하는 방법은 SQL 주입 공격의 대상이되며 보안 강화를위한 조언이 필요하다고 언급되었습니다. CleanPhoneNumber이 방법 설정

 <cfquery name="InsRegistrant" datasource="#application.Datasource#" dbtype="odbc"> 

      INSERT INTO Schedule_Registrations(
       schedule_id, 
       first_name, 
       last_name, 
       phone_number, 
       email, 
       guest, 
       list_type, 
       datetime_registered 
      ) 
      VALUES(
       #url.schedule_id#, 
       '#FORM.first_name#', 
       '#FORM.last_name#', 
       '#CleanPhoneNumber#', 
       '#FORM.email#', 
       #attendee.guest#, 
       <!--- Values for list types 
        0 = NEVER USE Will cause many many problems 
        1 = Main List 
        2 = Waiting List --->      
       #attendee.list_type#, 
       #createodbcdatetime(now())# 
      )     
     </cfquery> 

: 여기

는 DB에 양식 데이터를 삽입하는 코드입니다,

<cfset CleanPhoneNumber = REReplace(form.phone_number, "[^0-9]", "", "ALL") /> 

내가 예를 들어, 사용하는 들었다을

<cfqueryparam cfsqltype="cf_sql_varchar" value="#form.phone_number#" /> 

하지만 대체 할 부분과 위치를 잘 모르겠습니다. 그런 값으로 바꾸면 오류가납니다.

어떤 방향이 도움이 될 것입니다 ..

Answer 1

당신은 같을 것이다 cfqueryparam

귀하의 질의에있는 모든 형태와 URL 변수를 포장한다 :

<cfquery name="InsRegistrant" datasource="#application.Datasource#" dbtype="odbc"> 
    INSERT INTO Schedule_Registrations(
     schedule_id, 
     first_name, 
     last_name, 
     phone_number, 
     email, 
     guest, 
     list_type, 
     datetime_registered 
    ) 
    VALUES(
     <cfqueryparam cfsqltype="cf_sql_integer" value="#url.schedule_id#">, 
     <cfqueryparam cfsqltype="cf_sql_varchar" value="#FORM.first_name#">, 
     <cfqueryparam cfsqltype="cf_sql_varchar" value="#FORM.last_name#">, 
     <cfqueryparam cfsqltype="cf_sql_varchar" value="#CleanPhoneNumber#">, 
     <cfqueryparam cfsqltype="cf_sql_varchar" value="#FORM.email#">, 
     <cfqueryparam cfsqltype="cf_sql_integer" value="#attendee.guest#">, 
     <!--- Values for list types 
      0 = NEVER USE Will cause many many problems 
      1 = Main List 
      2 = Waiting List --->      
     <cfqueryparam cfsqltype="cf_sql_integer" value="#attendee.list_type#">, 
     #createodbcdatetime(now())# 
    )     
</cfquery> 

나는 모든 데이터 유형이 올바른지있어 확실하지 않다, 모든 데이터 유형에 대해서는 full documentation of cfqueryparam을 참조하십시오.

Answer 2

당신이 할 수있는 몇 가지 모범 사례가 있습니다.

당신이 할 수있는 일 중 하나를 제공 한 삽입 코드는 데이터를 삽입하기 전에 명시 적으로 양식 필드의 입력을 확인하는 것입니다. 공백 및 " '와 같은 것을 확인하십시오. 또한 입력 한 잘못된 데이터로 인한 오류 메시지가 사용자에게 표시되지 않도록해야합니다. 이는 테이블 구조를 알고 자하는 누군가에게 유용합니다.

그렇지 않으면 삽입 또는 업데이트를 위해 저장 프로 시저를 호출하기 전에 삽입 프로 시저에 삽입을 배치하고 입력 매개 변수의 유효성을 검사하십시오.

다음은 SQL 주입 공격을 막기 위해 수행 할 수있는 좋은 목록입니다. 그것은 asp.net과 관련이 있지만 개념은 여전히 ​​당신이 사용하는 언어에 상관없이 적용됩니다.

How To: Protect From Injection Attacks in ASP.NET