Säkerhet,jQuery & ASP.NET 2.0

3 svar · 597 visningar · startad av thevice 22 feb. 2009

theviceMedlem sedan dec. 2005198 inlägg

Frågan22 feb. 2009 21:08#1

Hejsan,
Jag skulle bli väldigt tacksam om ni kunde säga hur pass bra säkerheten är på det sättet som jag gör nu när jag använder mig utav jQuery och ASP.NET för att göra vissa anrop. Ett exempel på hur jag hämtar data är:

// Javascript
var messageTypeID = $('#<%= hfMessageTypeID.ClientID %>');

$.ajax({  
	type: "POST",  
	url: "Default.aspx/BindMessages",  
	contentType: "application/json; charset=utf-8",  
	data: {"x": messageTypeID.val()},  
	dataType: "json"
}

[WebMethod]
public static List<MessageEntities> BindMessages(string c)
{
	MessageBLL messagesBLL = new MessageBLL();
	List<MessageEntities> messagesList = MessagesBLL.GetMessagesByTypeID(Convert.ToInt32(x));

	return messagesList;
}

När jag sedan hämtar datan så använder jag mig utav sp´s istället för ren SQL. Är detta sätt säkert eller är det otroligt lätt att hacka sig in och förstöra för mig i databasen? När jag ska posta saker till databasen så använder jag mig utav ICallbackEventHandler:

// Javascript
$('#btnSubmitMessage').click(function(){
	if(Page_ClientValidate('WriteMessage')){
		var argument = tbCommentText.val();
		$('#writeMessage').hide('fast'); 
			WebForm_DoCallback('__Page',argument,ReceiveServerData,context,null,false);
		return false;
	}
});

public void RaiseCallbackEvent(string eventArgument)
{
	MessageEntities message = new MessageEntities();

	message.MessageWriterID = Convert.ToInt32(Session["MemberID"]);
	message.MessageTypeID = Convert.ToInt32(Request.QueryString["BlogPostID"]);
	message.MessageText = Server.HtmlEncode(Convert.ToString(eventArgument).Replace("\"", "\''"));

	new MessageBLL().SubmitMessage(message, MessageBLL.MessageType.MemberBlogPost);

	_Callback = "Succed";
	System.Threading.Thread.Sleep(2000);
}

Tack på förhand.

liljaMedlem sedan juli 20041 183 inlägg

24 feb. 2009 21:49#2

Det beror naturligtvis på hur du bygger dina SPer. Undvik att bygga upp dem dynamiskt i databasen så blir det säkrare.

Annars ser jag inget fel i din kod, du verkar skicka in ett tal och om det då inte är ett tal utan innehåller typ ;,' eller liknande som kan användas för SQL-injections så accepterar SPn inte din parameter. Det är också bra att begränsa fältlängderna till vad de faktiskt kommer vara och inte köra på max.

Men så är jag ingen expert på säkerhet heller. Någon annan kanske kan ge ett bättre svar? :)

theviceMedlem sedan dec. 2005198 inlägg

25 feb. 2009 13:07#3

Hur menar du med att bygga upp sina SP´s dynamiskt? Tror inte jag gör det, så här ser den ut när jag ska hämta data:

    SET @limit = CONCAT(' LIMIT ', ((in_CurrentPage - 1) * in_PageSize), ',', in_PageSize);
    SET @q =
      CONCAT('SELECT
        mgm.intMemberGuestbookMessageID AS intMessageID,
        mgm.intMemberGuestbookMessageWriterID AS intMessageWriterID,
        mgm.intMemberGuestbookMessageRecipientsID AS intMessageTypeID,
        mgm.intMemberGuestbookMessageAnswer AS intMessageAnswer,
        mgm.intMemberGuestbookMessageRead AS intMessageRead,
        mgm.txtMemberGuestbookMessageText AS txtMessageText,
        mgm.dtmMemberGuestbookMessageDateTime AS dtmMessageDateTime,
        m.strMemberFirstName AS strMessageWriterFirstName,
        m.strMemberLastName AS strMessageWriterLastName
      FROM
        tblMemberGuestbookMessages mgm
      INNER JOIN
        tblMembers m
      ON
        mgm.intMemberGuestbookMessageWriterID = m.intMemberID
      WHERE
        mgm.intMemberGuestbookMessageRecipientsID = ',in_MessageTypeID,'
      ORDER BY
        dtmMessageDateTime DESC');
    SET @q = CONCAT(@q, @limit);

    PREPARE st FROM @q;
    EXECUTE st;
    DEALLOCATE PREPARE st;

Ska tänka på det med fältlängderna, tack så mycket.
Någon annan som har något att säga om koden?

liljaMedlem sedan juli 20041 183 inlägg

26 feb. 2009 09:41#4

Det ser bra ut tycker jag. Med dynamiskt bygga SQL menar jag att man t.ex. skickar in vilka kolumner man vill ha ut från proceduren eller skickar in hela where-satsen från din .Net kod. Du skickar in parametrar vilket är bra och du gör inte heller select * vilket också är bra.

Jag tror dock att du vet detta redan :)