防止SQL注入攻击的注意事项
防止SQL注入攻击的注意事项
一. SQL Injection及其防范的基本知识
可能大家都知道，SQL注入主要是利用字符型参数输入的检查漏洞。
比如说，程序中有这样的查询：
string sql = "SELECT * from SiteUsers WHERE UserName='" + userName + "'";
其中的userName参数是从用户界面上输入的。
如果是正常的输入，比如“Peter”，SQL语句会串接成：
"SELECT * from SiteUsers WHERE UserName='Peter'";
如果攻击者输入的是下面的字符串：
"xxx'; DROP TABLE SiteUsers WHERE 1=1 or UserName='xxx"
此时SQL语句会变成下面这个样子：
"SELECT * from SiteUsers WHERE UserName='xxx'; DROP TABLE SiteUsers WHERE 1=1 or UserName='xxx'";
其结果，得到执行的是两个SQL语句，第二个语句的后果就比较严重了。
防止注入的方法其实很简单，只要把用户输入的单引号变成双份就行了：
string sql = "SELECT * from SiteUsers WHERE UserName='" + userName.Replace("'","''") + "'";
这样，如果输入的是上面那种恶意参数，整个SQL语句会变成：
"SELECT * from SiteUsers WHERE UserName='<STRONG>xxx''; DROP TABLE SiteUsers WHERE 1=1 or UserName=''xxx</STRONG>'";
被执行的还是一个SQL语句，整个粗体部分都成为参数值。
一般的做法，是在程序中统一调用下面这样的共通函数，对参数进行处理：
private string SafeSqlLiteral(string inputSQL)
{
return inputSQL.Replace("'", "''");
}
由于很多人会疏忽这种单引号替换，所以真正安全的做法是使用参数化查询。
二. 参数化查询
在ADO.NET中，提供了一种参数化查询方法，可以替代上面这种拼接SQL语句的做法。
参数化查询的具体实现是：
（1）组织一个夹带参数名的SQL语句，作为SqlCommand的CommandText。
（2）使用Parameters.Add方法设置参数值。
（3）执行SqlCommand。（这个步骤跟上面那种拼接SQL的办法是一样的。）
下面是一个例子：
string sql = "SELECT T2.dep_code, T2.dep_name from DEP ";
sql += " WHERE T2.dep_name like ('%'+ <STRONG>@Param</STRONG> + '%') ";
SqlCommand sqlCommand = new SqlCommand(sql,cn);
sqlCommand.Parameters.Add(new SqlParameter("Param",s);
其中的@Param就是参数名，s则是用户输入的查询条件字串。
（顺�
相关文档：
原贴：http://topic.csdn.net/u/20100412/11/a4ea520e-7dd0-44d2-98bb-9f62f0ed6160.html?21233
--------------------------------------------------------------------------
-- Author : htl258(Tony)
-- Date : 2010-04-14 06:02:36
-- Version:Microsoft SQL Server 2008 (RTM) - 1 ......
SQL取日期
SQL Server 2009-11-19 15:07:30 阅读7 评论0 字号：大中小
方法一:
select CONVERT(varchar, getdate(), 120 )
2004-09-12 11:06:08
select replace(replace(replace(CONVERT(varchar, getdate(), 120 ),\'-\',\'\'),\' \',\'\'),\':\',\'\')
20040912110608
select CONVERT(varchar(12) , getdate( ......
以下是发在梅子论坛的贴子，转发过来，希望给用得着的狐友参考。
我的程序以前一直是用花生壳绑定IP实现的远程，由于客户服务器和客户端都是通过宽带上网，一般的操作（开进货单、销售单等）速度也还不错，但是在远程客户端修改商品资料（10000多条记录）、查询一段时期的进销存流水（一周5000条以上）等涉及到取记录量大� ......
清理SQL Server 2008数据库日志
收藏
第一步, 在收缩前先查看日志的大小:
SELECT
*
from
sysfiles
WHERE
name
LIKE
'
%
LOG
%'
GO
第二步, 把数据库的恢复模式设成”简单”:
ALTER
DATABASE
库名
SET
......
