慢步在雲端... 邱英瑞(Jacky) : C#

SQL Injection 相關資訊

jchiou — Mon, 26 May 2008 11:01:39 GMT

SQL Injection(資料隱碼)攻擊行為簡介

以下是此類攻擊的流程

1. 駭客運用搜尋引擎尋找網頁上的漏洞，並運用自動化工具攻擊網路服務器。

2. 一個<script>字串附加到在後端運行的SQL伺服器中所有的文本或可變長字串列中。

3. 這個腳本與駭客所控制伺服器連接。該伺服器含有一些常用軟體的利用代碼，如Microsoft MS06-014，協力廠商軟體漏洞，（例如常用的媒體播放器及內容下載軟體）。有的時候還有一些零時差漏洞。

4. 當終端使用者試圖用IE流覽正常的網站時，由於這些網頁都將從SQL伺服器獲取資料，這些資料同時包含了惡意腳本<script>。而這些腳本會自動連接到駭客的網站。

5. 如果普通使用者沒有依照建議安裝修正程式，防毒軟體，或尚未安裝Microsoft或協力廠商軟體最新版本的更新，那麼他們的電腦就會被感染。

SQL Injection(資料隱碼)攻擊行為的解決方案

一旦web伺服器遭到SQL注入攻擊，請遵循如下步驟：

1、關閉網站

2、檢查IIS日誌，查找引起這次攻擊的有漏洞的目標網頁

3、聯繫web開發者，修改並加強ASP頁面。

注意這只是一種變通的解決方法，只能臨時解決SQL Injection問題。該網站可能在伺服器再次聯網後被再次注入。為了徹底解決這個問題，請參閱“預防SQL Injection(資料隱碼)攻擊的解決方案”。

預防SQL注入攻擊的解決方案

這種SQL Injection攻擊是由網頁程式開發不符合安全編碼的要求所引起的。為了防止攻擊，我們需要驗證所有網頁的字串輸入的函數。比如說，帶有用戶名和密碼輸入框的網站登錄頁。

我們也可以在微軟的官方網站上找到安全指導和最佳實踐建議，來應對SQL Injection(資料隱碼)攻擊。

用來減緩與解決SQL Injection攻擊的最佳實踐建議可以在這裡找到：

http://msdn2.microsoft.com/en-us/magazine/cc163917.aspx

SQL 資料隱碼

http://msdn.microsoft.com/zh-tw/library/ms161953.aspx

『資料隱碼』SQL Injection的源由與防範之道

http://www.microsoft.com/taiwan/sql/SQL_Injection.htm

SQL Injection (資料隱碼)– 駭客的 SQL填空遊戲(上)

http://www.microsoft.com/taiwan/sql/SQL_Injection_G1.htm

SQL Injection (資料隱碼)– 駭客的 SQL填空遊戲(下)

http://www.microsoft.com/taiwan/sql/SQL_Injection_G2.htm

How To - Protect from Injection Attacks in ASP.NET

http://msdn.microsoft.com/en-us/library/bb355989.aspx

How To - Protect from SQL Injection in ASP.NET

http://msdn.microsoft.com/en-us/library/ms998271.aspx

How To - Protect from Cross-Site Scripting in ASP.NET

http://msdn.microsoft.com/en-us/library/ms998274.aspx

Design Guidelines

http://msdn.microsoft.com/en-us/library/aa302420.aspx

Arch/Design Inspection

http://msdn.microsoft.com/en-us/library/aa302421.aspx

對於用戶端使用者，請確保電腦系統中已安裝了微軟及協力廠商軟體的最新安全修正程式以及最新的防毒程式定義檔。

注意，SQL Injection 不只會在 MS SQL Server 上會發生，在其它廠牌的資料庫產品也可能會有相同的情況發生。

請協助我們改善您在 MSDN 上尋找資訊的體驗

jchiou — Fri, 25 Apr 2008 05:31:39 GMT

您是否覺得很難在 MSDN 快速找到需要的資訊?

MSDN 團隊正致力於改善您在尋找所需資訊時的體驗。請花個兩分鐘來告訴我們您想要的內容格式和搜尋方式。詳細內容...

雖然 MSDN 已經比以前好很多了，但我們都希望它可以更好，筆者自己也有做完問卷，大家有空時可以填一下，感恩。

C# 3.0 - 新功能大綱

jchiou — Sat, 15 Dec 2007 17:55:54 GMT

C#3.0 Design Themes

Improve on C#2.0
Language Integrated Query (LINQ)
100% Backwards Compatible

C# 3.0 – New Language Features

Local Variable Type Inference
Object Initializers
Collection Initializers
Anonymous Types
Auto-Implemented Properties
Extension Methods
Lambdas
Query Expressions
Expression Trees
Partial Methods

C# 3.0 - 新功能 - Lambda expressoin

jchiou — Sat, 15 Dec 2007 17:42:33 GMT

"=>"這個符號除了代表『等於大於』外，在 C# 3.0 語法中也表示 Lambda expression，它可以讓我們的程式碼更少，也可以讓程式的可讀性更高。

詳細說明：

http://msdn2.microsoft.com/en-us/library/bb397687(VS.90).aspx

完整範例：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;

namespace NewLanguageFeatures
{
    public class Customer
    {
        public int CustomerId { get; private set; }

public string Name { get; set; }
public string City { get; set; }

        public Customer(int Id)
        {
            CustomerId = Id;
        }

        public override string ToString()
        {
            return Name + "\t" + City + "\t" + CustomerId;
        }
    }

    class Program
    {
        static void Main(string[] args)
        {
            List<Customer> customers = CreateCustomers();

Console.WriteLine("Customers:\n");

var customerDictionary = new Dictionary<Customer, string>();

foreach (var c in customers)
customerDictionary.Add(c, c.Name);

            var matches = customerDictionary.FilterBy(
                (customer, name) => name.StartsWith("墩墩"));

            foreach (var m in matches)
                Console.WriteLine(m);
        }

        static List<Customer> CreateCustomers()
        {
            return new List<Customer>
                {
                    new Customer(1) { Name = "波羅實業",          City = "台北市" },
                    new Customer(2) { Name = "湯姆科技",          City = "台中市" },
                    new Customer(3) { Name = "墩墩數位",          City = "高雄市" },
                    new Customer(4) { Name = "摩利光電",          City = "新竹市" },
                    new Customer(5) { Name = "瑞之路邊攤",        City = "花蓮市" }
                };
        }
    }

public delegate bool KeyValueFilter<K, V>(K key, V value);

    public static class Extensions
    {
        public static List<K> FilterBy<K, V>(
        this Dictionary<K, V> items,
        KeyValueFilter<K, V> filter)
        {
            var result = new List<K>();

            foreach (KeyValuePair<K, V> element in items)
            {
                if (filter(element.Key, element.Value))
                    result.Add(element.Key);
            }
            return result;
        }

        public static List<T> Append<T>(this List<T> a, List<T> b)
        {
            var newList = new List<T>(a);
            newList.AddRange(b);
            return newList;
        }

        public static bool Compare(this Customer customer1, Customer customer2)
        {
            if (customer1.CustomerId == customer2.CustomerId &&
                customer1.Name == customer2.Name &&
                customer1.City == customer2.City)
            {
                return true;
            }

            return false;
        }
    }
}

執行結果：

Customers:

墩墩數位高雄市 3
Press any key to continue . . .

筆者使用的環境：Windows 2008 RC0 English + Visual Studio 2008

C# 3.0 - 新功能 - implicit Type

jchiou — Sat, 15 Dec 2007 16:35:14 GMT

C# 3.0 允許區域變數（local variable）使用 var 來宣告變數，它並不是以前 VB 6 的那個 var。

當使用 var 宣告時，CLR 會在編譯階段，由實際的值（等號右邊的值）來判斷它是屬於那個型態

使用以下範例來說明：

        static void Main(string[] args)
        {
            List<Customer> customers = CreateCustomers();

            Console.WriteLine("Customers:\n");
            //foreach (Customer c in customers)
            foreach (var c in customers)
                Console.WriteLine(c);

Console.WriteLine();

            var vInt = 168;
            var vString = "這是字串";
            var x = new[] { 1, 2, 3 };

            Console.WriteLine("vInt : {0}", vInt);
            Console.WriteLine("vString : {0}", vString);
            foreach(var a in x)
                Console.WriteLine(a);
        }

執行結果：

Customers:

波羅實業        台北市 1
湯姆科技        台中市 2
墩墩數位        高雄市 3
摩利光電        新竹市 4
瑞之路邊攤      花蓮市 5

vInt : 168
vString : 這是字串
1
2
3
Press any key to continue . . .

完整範例：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;

namespace NewLanguageFeatures
{
    public class Customer
    {
        public int CustomerId { get; private set; }

public string Name { get; set; }
public string City { get; set; }

        public Customer(int Id)
        {
            CustomerId = Id;
        }

        public override string ToString()
        {
            return Name + "\t" + City + "\t" + CustomerId;
        }
    }

    class Program
    {
        static void Main(string[] args)
        {
            List<Customer> customers = CreateCustomers();

            Console.WriteLine("Customers:\n");
            //foreach (Customer c in customers)
            foreach (var c in customers)
                Console.WriteLine(c);

Console.WriteLine();

            var vInt = 168;
            var vString = "這是字串";
            var x = new[] { 1, 2, 3 };

            Console.WriteLine("vInt : {0}", vInt);
            Console.WriteLine("vString : {0}", vString);
            foreach(var a in x)
                Console.WriteLine(a);
        }

}
}

這個功能筆者很喜歡，如果要學習 LINQ 的朋友，建議對於 C# 3.0 語言的新功能先了解一下。

筆者使用的環境：Windows 2008 RC0 English + Visual Studio 2008

MSDN 雜誌 2007 年 12 月號 - 編輯的話

jchiou — Tue, 04 Dec 2007 11:32:00 GMT

轉載自：http://msdn.microsoft.com/msdnmag/issues/07/12/EditorsNote/default.aspx?loc=zx

當我在撰寫本文時，我正在從西雅圖飛往美國東岸的班機上。我將在紐約的辦公室待幾天，然後就要前往德州參加會議。接著，我就要回到 Redmond 開幾個會，最後還要前往巴塞隆納參加 Tech•Ed EMEA。這麼多的會議只能代表一件事- 2007 年即將結束！怎麼會那麼快就到年底了？在這個時候，我們應當回顧一下身為開發人員在這一年來的成長，以及 2008 的趨勢。

雖然 2007 是推出各種嶄新技術的一年，但是形成的主軸有兩個：AJAX 以及 Microsoft .NET Framework 3.0。AJAX 的 ASP.NET AJAX Extensions 成為一等一的 Web 應用程式開發平台。此延伸程式庫同時涵蓋用戶端和伺服器的範圍，且能夠抽象化在瀏覽器中執行之 JavaScript 程式碼與在應用程式伺服器上執行之商務邏輯之間的互動。此外，該程式庫也建立了指令碼行為與現有控制項的新動態關聯機制，並且提供了用戶端和伺服器上的當地語系化功能…等等。

.NET Framework 3.0 推出了三項技術，這些技術已開始全面引發應用程式架構的轉變。首先是 Windows Presentation Foundation (WPF)，這完全顛覆了傳統的訊息幫浦 (Message Pump)，那方方正正的 Win32 架構，藉由利用圖形卡的嶄新技術並提供 Windows 開發人員宣告式、以容器為基礎的使用者介面項目撰寫模式，使他們也能掌握以往只有 Web 應用程式開發人員獨享的彈性和優勢。再來是 Windows Communication Foundation (WCF)，這將所有建立分散式應用程式的方法，全部都整合到單一抽象層。最後則是 Windows Workflow Foundation (Windows WF)，這新增了宣告式工作流程模型語言和執行引擎，在這之前，如此的功能僅能以額外的應用程式提供，而非以平台的服務提供。

當您考慮到 .NET Framework 3.0 和 AJAX 的影響有多麼深遠，身為開發人員一定會感受到壓力。如 Windows WF 和 WCF 對於傳統應用程式架構模式的影響 (例如功能豐富的領域模式) 絕對不容忽視。舉例而言，以後是否要放棄所有的物件導向 (OO) 作法，並且將類別階層一對一對地分割為可以在遠端服務之間輕易傳遞的邏輯服務類別和資料語彙基元類別？單元測試之長時間執行的工作流程又應該如何進行，才是最佳作法？何時應該使用 AJAX 指令碼服務方法而非部分呈現？

或許您覺得當下的這些問題已經夠嗆，但是 2008 年很可能還會進一步加快轉變的趨勢。自從 MIX 2007，Silverlight 的定位就是要轟動武林，並且突破以往在 Web 應用程式開發環境中未能實現的境界，提供功能更豐富的以瀏覽器為基礎的使用者體驗。此外，隨著 Visual Studio 2008 中的 LINQ 以及 ADO.NET Entity Framework 的推出 (後者在 Visual Studio 推出不久之後即問世)，資料存取的架構也將完全顛覆以往的思考模式。在上述嶄新平台技術一一推出的同時，2007 Office System 也不甘示弱，其中包括在應用程式層執行的 SharePoint 技術也持續向上提升，以提供高度整合、功能強大的商務應用程式。

如果您也像我一樣，想著到底何時才能鬆一口氣，答案是恐怕還要再憋久一點。因為就像我的出差行程一樣，短期內應該沒有任何休閒時間。但是請您也別擔憂，因為 MSDN Magazine 會一如往常地使出渾身解數，以協助您過濾雜訊、抓取重點，使您成為頂尖開發人員，或許還可以為您的科技生活增添一點娛樂效果喔！—Howard

C# 3.0 - 新功能 - Collection Initializers

jchiou — Tue, 04 Dec 2007 06:11:40 GMT

Collection Initializers 即是透過前述的 Object Initializers，讓我們可以直接對物件做一或多次初始化動作。

完整範例：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;

namespace NewLanguageFeatures
{
    public class Customer
    {
        public int CustomerId { get; private set; }

public string Name { get; set; }
public string City { get; set; }

        public Customer(int Id)
        {
            CustomerId = Id;
        }

        public override string ToString()
        {
            return Name + "\t" + City + "\t" + CustomerId;
        }
    }

    class Program
    {
        static void Main(string[] args)
        {
            List<Customer> customers = CreateCustomers();

            Console.WriteLine("Customers:\n");
            foreach (Customer c in customers)
                Console.WriteLine(c);
        }

}
}

執行結果：

Customers:

波羅實業        台北市 1
湯姆科技        台中市 2
墩墩數位        高雄市 3
摩利光電        新竹市 4
瑞之路邊攤      花蓮市 5
Press any key to continue . . .

筆者使用的環境：Windows 2008 RC0 English + Visual Studio 2008

C# 3.0 - 新功能 - Object Initializers

jchiou — Tue, 04 Dec 2007 05:40:39 GMT

C# 3.0 為了簡化物件的初始化，可以直接在建構子後面指定屬性的值。

以程式來說明會更清楚：

// 原來程式的寫法為：

Customer c = new Customer(1);
c.Name = "台灣微軟";
c.City = "台北市";

// Object initializers 可以將程式改寫為：
Customer c = new Customer(2) { Name = "台灣微軟", City = "台北市" };

兩個程式碼比較後，後者真的簡潔許多。

完整的程式碼範例如下：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;

namespace NewLanguageFeatures
{
    public class Customer
    {
        public int CustomerId { get; private set; }

public string Name { get; set; }
public string City { get; set; }

        public Customer(int Id)
        {
            CustomerId = Id;
        }

        public override string ToString()
        {
            return Name + "\t" + City + "\t" + CustomerId;
        }
    }

    class Program
    {
        static void Main(string[] args)
        {
            //Customer c = new Customer(1);
            //c.Name = "台灣微軟";
            //c.City = "台北市";

// Object initializers 可以將程式改寫為：
Customer c = new Customer(2) { Name = "台灣微軟", City = "台北市" };

            Console.WriteLine(c);
        }
    }
}

執行結果：

台灣微軟台北市 2
Press any key to continue . . .

筆者使用的環境：Windows 2008 RC0 English + Visual Studio 2008

C# 3.0 - 新功能 - Automatic properties

jchiou — Tue, 04 Dec 2007 05:27:51 GMT

C# 3.0 又新增許多令人激賞的功能，今天先看一下 Automatic properties

大家先想一下之前要宣告一個 property 要如何做？就像下方的程式碼：

private string name;

public string Name

{

get { return name; }

set { name = value; }

}

在 C# 3.0 的寫法可以直接寫為：

public string Name { get; set; }

是不是又加簡潔了！

完整的範例如下：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;

namespace NewLanguageFeatures
{
    public class Customer
    {
        public int CustomerId { get; private set; }

public string Name { get; set; }
public string City { get; set; }

        public Customer(int Id)
        {
            CustomerId = Id;
        }

        public override string ToString()
        {
            return Name + "\t" + City + "\t" + CustomerId;
        }
    }

    class Program
    {
        static void Main(string[] args)
        {
            Customer c = new Customer(1);
            c.Name = "台灣微軟";
            c.City = "台北市";

            Console.WriteLine(c);
        }
    }
}

筆者使用的環境：Windows 2008 RC0 English + Visual Studio 2008