Login, Sessions, SQL injections, Säkerhet, Databas

Emil RT skrev:

4. Databas skyddas mot SQL-injections
   http://www.sitepoint.com/article/sql-injection-attacks-safe

I mitt fall använder jag Access och vill få bort '
Passar dessutom på att rensa bort lite annat obehag som rekomenderades i artiklen ovan.

Tycker att förslagen på sista sidan i den där artikeln var rätt dåliga. Att skydda sig från injektioner genom att ta bort "farliga" tecken eller fraser är värdelöst. Använd parametriserade frågor (sök här i forumet) så kan man skriva in vad som helst utan att kunna härja runt i din databas.

Då slipper du även quotingfunktioner som safeSQL. För det första är de bökiga, en extra grej att använda överallt, de kräver att du verkligen kommer ihåg ALLA kombinationer som kan ställa till problem, och inte ens då är de nödvändigtvis säkra. I PHP kunde man en gång i tiden lura sig runt quotingfunktioner genom att använda kluriga kombinationer av teckenuppsättningar. Med lite otur dyker det upp något likadant till ASP. Kanske inte så sannolikt, men icke desto mindre är quotingfunktioner en extra potentiell felkälla som kan undvikas med parametriserade frågor.

Sen, om man vill ha mer lätthanterad kod och därmed färre säkerhetsrisker, ska man använda sig av ett Riktigt Webbramverk, som ASP.NET eller J2EE, inte en scriptlösning som ASP.

Ska kolla upp parametriserade frågor! Tackar ...

Det är ASP som är the shit nu i detta fallet. Kan dock tänka mig att det finns bättre ramverk.

Men om parametriserade frågor implementeras och man bortser från att ASP inte är 100 - vad är statusen på ovanstående? Är det säkert eller ej?

/E

1. Bra!
2. Ja, det skadar inte
3. Utan tvekan! Ett måste!
4. Håller med spango. Om man måste skydda sig genom att ta bort specifika ord så är man helt fel ute. Parametriserade frågor (ADODB.Command) är det som gäller om man vill ha totalt injection-skydd. Dessutom ger det vissa prestandafördelar och det är, inte minst, roligare att använda, jämfört med konkateneringshysterin som man kan hamna i annars.
5. IsNumeric ska man inte lita på, utan den bör endast användas i valideringssammanhang. Typomvandling är däremot att rekommendera.
6a. Det är riktigt att sessioner är lite prestandakrävande, men det blir inte hållbart att bygga ett inloggningssystem utan dem (man kan överleva med endast egna cookies, men då får man bygga en hel del runt ikring, som antagligen blir mer prestandakrävande)
6b. Funktionsdeklaration ska ligga utanför flödet, dvs. inte inne i en "else"

I övrigt såg det helt ok ut.

Spango har helt rätt när han skriver "Sen, om man vill ha mer lätthanterad kod och därmed färre säkerhetsrisker, ska man använda sig av ett Riktigt Webbramverk, som ASP.NET eller J2EE, inte en scriptlösning som ASP."

Det primära där är inte ASP:s tillkortakommanden, utan just att "lätthanterad kod [ger] färre säkerhetsrisker". Sträva efter att göra ditt system enkelt och strukturerat, så kan du bygga fullgod säkerhet även i ASP.

Bra feedback!

Varför jag la en funtion i elsesatsen kan bara min sovande hjärna svara på. I "verkligheten" hade jag nog inkluderat en fil ist. Jag har med den här ändå trots att ni ni sagt nej till att byta ut ord. Mest för att sammanfatta vad som är sagt.

Har tittat på ...
http://www.swesecure.com/?ID=dc6ea60a-12ae-4e7e-9e9c-59489ccafa90&IID=d628e96e-f8fd-44ed-9537-4061c817e9b1
... för att bli klok på parameteriserade frågor. Finns inte så mycket exempel här i forumet. Det hela bygger på att man byter ut värdena mot frågetecken och sedan byter ut dem mot riktiga värden.

En fråga dock. I vanliga fall skapar jag ett rs (recorset) med

Set Rs=Server.CreateObject("ADODB.Recordset")

I detta exemplet skapar man ett command ist och sedan ett rs av det. Vad är relationen?

Och så koden ...

<%@LANGUAGE="VBSCRIPT" CODEPAGE="1252"%>
<!--#include file="global_scripts/oDB.asp"-->
	<%
		function safeSQL(strText)
			strText = replace(strText,"'","''")
		
			dim badChars 
			dim newChars 

			badChars = array("select", "drop", ";", "--", "insert",  "delete", "xp_") 
			newChars = strText 

			for i = 0 to uBound(badChars) 
				newChars = replace(newChars, badChars(i), "") 
			next 
			strText=newChars
			safeSQL=strText
		end function
	%>
	
	<% 
		If Request("action")="" Then 
    		Session.abandon()
	%>
<!DOCTYPE HTML Public "-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1">
<title>Login</title>
</head>
<body>

	<form method="post" action="login.asp?action=login">
  		USER: <input name="uname" type="text" maxlength="15">
  		<br>
  		PASS: <input name="pword" type="password" maxlength="15">
  		<br>
	  <br>
        <input type="submit" name="Submit" value="Submit">
	</form>

	<%
	Else
   		dim Rs,cmd, user, pass, nextpage
   		
		user = safeSQL(Request.Form ("uname"))
		pass = safeSQL(Request.Form ("pword"))
		
		'orginal
		'Set Rs=Server.CreateObject("ADODB.Recordset")
		'sql = "select * FROM users WHERE " & _
          	'"User = '" & user & "' and " & _
          	'"Pass = '" & pass & "' "
		'Rs.Open sql, DataConn
		
		'param
		Set cmd = server.createobject("ADODB.command")
		cmd.activeConnection = DataConn
		sql = "SELECT * FROM users WHERE (User=? AND Pass=?)"
		cmd.CommandText = sql
		
		Set Rs=cmd.Execute(, array(user, pass))
		
		If NOT Rs.EOF Then
   			Session("userId")=RS(0)
    		nextPage="default.asp"
    	Else
    		nextPage="login.asp"
    	End If

		Rs.Close 
		Set Rs=nothing
		Response.Redirect(nextPage)
		
	End If
	%>

</body>
</html>
<!--#include file="global_scripts/cDB.asp"-->