SQL 인젝션 저장 프로 시저

Question

SQL 인젝션에 대해 배우고 싶습니다.

웹 응용 프로그램을 만들고 내 데이터베이스에 대한 일부 정보에 액세스하는 저장 프로 시저를 만들었습니다. 여기

내 저장 프로 시저와의 ASP .NET 응용 프로그램

Create Procedure spTest 
(
    @UserName varchar(20), 
    @UserPwd varchar(max) 
) 
AS 
Begin 
Declare @sql varchar(max) 
set @sql = 'select UserName,UserPwd from Users where UserName='''+ @UserName+ ''' 
               And UserPwd = '''+ @UserPwd + ''' ' 
Exec(@sql) 
End 

C# 코드의 코드입니다 : I 입력, 사용자 이름 텍스트 상자에서

string connString = System.Configuration.ConfigurationManager.ConnectionStrings["connStr"].ConnectionString; 
using (SqlConnection con = new SqlConnection(connString)) 
{ 
    SqlCommand cmd = new SqlCommand("spTest",con); 
    cmd.CommandType = CommandType.StoredProcedure; 
    cmd.Parameters.AddWithValue("@UserName",txtUserName.Text); 
    cmd.Parameters.AddWithValue("@UserPwd", txtPassword.Text); 
    con.Open(); 
    SqlDataReader dr = cmd.ExecuteReader(); 
    dr.Read(); 
    if (dr.HasRows) 
    { 
     labelLogin.Text = "Logged in"; 
    } 
    else 
    { 
     labelLogin.Text = "Not logged in"; 
    } 

bobby' or 1=1--

"바비 "잘못된 사용자 이름입니다.

이제 1 = 1은 항상 true이고 나머지 SQL 문은 주석 처리되어 있기 때문에 응용 프로그램이 가짜 사용자 이름으로 로그인한다고 생각했습니다.

그러나 "기록되지 않음"이 표시됩니다. 여기에 무엇이 누락 되었습니까?

감사합니다.

Answer 1

사용자 이름으로 바비 'OR 1 = 1 -'만 입력합니까? 그것은 별도의 줄에 있기 때문에 여전히 비밀 번호와 일치하려고합니다. 유효한 암호와 결합하거나 바비 'OR 1 = 1 -'을 암호로 입력하면 작동합니다.

첫 번째 경우 :

select UserName,UserPwd from Users 
where UserName='bobby' OR 1=1 --' 
And UserPwd = 'xyz' 

두 번째 경우 :

select UserName,UserPwd from Users 
    where 'UserName'='bobby' OR 1=1 --' 
    And 'UserPwd' = 'bobby' OR 1=1 --' 

첫 번째 경우에 해당 :

select UserName,UserPwd from Users 
where 
    UserName='bobby' OR 
    (1=1 And UserPwd = 'xyz') 

두 번째 경우에 해당 :

select UserName,UserPwd from Users 
where 'UserName'='bobby' OR 
    (1=1 And 'UserPwd' = 'bobby') OR 
    1=1