P�ihl�sit

Select the product you need help with

Je k dispozici n�stroj Microsoft Source Code Analyzer for SQL Injection, kter� odhal� v k�du ASP zranitelnosti v��i vlo�en� SQL

ID �l�nku: 954476 - Produkty, kter� se vztahuj� k tomuto �l�nku.

Rozbalit v�echny z�lo�ky | Minimalizovat v�echny z�lo�ky

�VOD

Tento �l�nek popisuje n�stroj Microsoft Source Code Analyzer for SQL Injection. Pomoc� tohoto n�stroje pro statickou anal�zu k�du lze v k�du ASP odhalit zranitelnosti v��i vlo�en� SQL.

Zp�t nahoru | Dejte n�m zp�tnou vazbu

Microsoft Source Code Analyzer for SQL Injection je n�stroj pro statickou anal�zu k�du, kter� v�m pom��e odhalit zranitelnosti v��i vlo�en� SQL v k�du ASP (Active Server Pages). Tento �l�nek popisuje pou�it� n�stroje, upozorn�n� generovan� n�strojem a jeho omezen�. Dal�� informace naleznete v souboru Readme n�stroje.

Po�adavky

Tento n�stroj p��kazov�ho ��dku vy�aduje n�sleduj�c� software:

.NET Framework 3.0

Probl�my s vlo�en�m SQL v k�du ASP

Pokud jsou u�ivatelem dodan� data z kolekc� Request.Form nebo Request.Querystring v k�du ASP pou��v�na k sestavov�n� dynamick�ch p��kaz� SQL bez proveden� ov��en� dat, �to�n�k m��e do sestaven�ho p��kazu SQL vlo�it vlastn� p��kazy SQL a zneu��t jej. Toto se obecn� ozna�uje jako zranitelnost v��i vlo�en� SQL prvn�ho ��du.

Pokud je vstup od u�ivatele ukl�d�n do datab�ze pomoc� jedn� str�nky ASP a n�sledn� je na��t�n z datab�ze a pou��v�n k sestavov�n� dynamick�ch p��kaz� SQL na jin� str�nce ASP, �to�n�k m��e vlo�it vlastn� p��kazy SQL do sestaven�ho p��kazu SQL a zneu��t jej. Toto se obecn� ozna�uje jako zranitelnost v��i vlo�en� SQL druh�ho ��du.

Nejlep��m zp�sobem, jak minimalizovat tyto hrozby, je pou��vat parametrizovan� dotazy SQL. Dal�� informace o zranitelnostech v��i vlo�en� SQL v k�du ASP a o metod�ch, jak tomu p�edch�zet, naleznete na n�sleduj�c�m webu spole�nosti:

http://msdn.microsoft.com/en-us/library/cc676512.aspx

(http://msdn.microsoft.com/en-us/library/cc676512.aspx)

N�stroj Microsoft Source Code Analyzer for SQL Injection v�m pom��e naj�t mo�n� probl�my automaticky.

Pou�it�

Tato ��st popisuje pou��v�n� n�stroje.

Syntaxe

N�stroj pou��v� n�sleduj�c� syntaxi:

msscasi_asp.exe [/nologo] [/quiet] [/suppress=num;..;num] [/GlobalAsaPath=cesta] [/IncludePaths=cesta;..;cesta] /Input=soubor.asp

Popis

Tento n�stroj analyzuje k�d ASP a hled� zranitelnosti v��i vlo�en� SQL.

Seznam parametr�

Zmen�it tuto tabulkuRoz��it tuto tabulku

Parametr	Mo�nost	Popis
/GlobalAsaPath	cesta	Uv�d� cestu k souboru Global.asa.
/IncludePaths	cesty	St�edn�ky odd�len� cesty pro nalezen� soubor� zahrnut�ch pomoc� virtu�ln�ch cest.
/input	soubor ASP	Absolutn� cesta souboru ASP, kter� je t�eba analyzovat.
/suppress warnings		Nejsou hl�ena upozorn�n�.
/nologo		Nezobraz� se logo n�stroje.
/quiet		Nezobrazuj� se chyby analyz�toru. Kdy� pou�ijete p�ep�na�e /nologo a /quiet, zobrazuj� se pouze upozorn�n�.

P��klady

MSSCASI_ASP /input="c:\source\logon.asp"

MSSCASI_ASP /GlobalAsaPath="C:\source" /input="c:\source\webitems\display.asp"

MSSCASI_ASP /GlobalAsaPath="C:\source" /input="c:\source\webitems\display.asp" /IncludePaths="C:\virtualdirectory1;C:\virtualdirectory2"

MSSCASI_ASP /input="c:\source\webitems\display.asp" /suppress="80406;80407"

Pr�ce s v�stupem n�stroje

N�stroj generuje n�sleduj�c� upozorn�n�:

Zmen�it tuto tabulkuRoz��it tuto tabulku

Upozorn�n�	Popis
80400	Mo�n� zranitelnost v��i vlo�en� SQL prost�ednictv�m dat �ten�ch z objektu Request bez ov��ov�n� vstupu. Tato upozorn�n� ve v�t�in� p��pad� znamenaj� chybu zabezpe�en�, kterou je nutn� opravit.
80406	Mo�n� zranitelnost v��i vlo�en� SQL prost�ednictv�m dat �ten�ch z objektu Request, kde vstup proch�z� skrze vol�n� nezn�m�ch funkc�, kter� mohou prov�d�t ov��ov�n� dat. Pokud ve vol�n� funkce nedoch�z� k ov��ov�n� dat, jde pravd�podobn� o chybu zabezpe�en�. Pokud vol�n� funkce ov��uje data, jde o fale�n� poplach.
80403	Mo�n� zranitelnost v��i vlo�en� SQL prost�ednictv�m dat poch�zej�c�ch ze serveru back-end. Pokud jsou tato data ��zena kone�n�m u�ivatelem (prost�ednictv�m n�jak�ho jin�ho webu), jde velmi pravd�podobn� o chybu zabezpe�en�. Pokud jsou v�ak tato data d�v�ryhodn� (poch�zej� ze zcela d�v�ryhodn�ho zdroje), nemus� se jednat o chybu. Nicm�n� v r�mci strategie ochrany do hloubky je i tak vhodn� tyto dotazy parametrizovat.
80407	Mo�n� zranitelnost v��i vlo�en� SQL prost�ednictv�m dat poch�zej�c�ch ze serveru back-end a proch�zej�c�ch skrze vol�n� nezn�m�ch funkc�. Pokud jsou tato data ��zena kone�n�m u�ivatelem (prost�ednictv�m n�jak�ho jin�ho webu) a neprov�d� se ��dn� ov��ov�n� t�chto dat, jde tu velmi pravd�podobn� o chybu zabezpe�en�.
80420	Mo�n� zranitelnost v��i vlo�en� SQL prost�ednictv�m parametr� funkce. Tato upozorn�n� jsou generov�na na �rovni funkce. Pokud hodnoty parametr� funkc� poch�zej� z d�v�ryhodn�ho zdroje, jedn� se tedy o fale�n� poplach. Pokud jsou hodnoty parametr� ��zeny kone�n�mi u�ivateli, jde velmi pravd�podobn� o chybu zabezpe�en�. M��ete pou��t anotaci __sql_pre_validated na parametry funkce, co� umo�n� zjistit, zda kone�n� u�ivatel� mohou m�t p��stup k tomuto k�du.
80421	Mo�n� zranitelnost v��i vlo�en� SQL prost�ednictv�m parametr� funkce, p�i�em� tyto parametry proch�z� skrze vol�n� nezn�m�ch funkc�, kter� mohou prov�d�t ov��ov�n� dat. M��ete pou��t anotaci __sql_pre_validated na parametry funkce a anotaci __sql_validate na ov��ovac� funkci, co� umo�n� zjistit, zda kone�n� u�ivatel� mohou m�t p��stup k tomuto k�du.

Ze v�ech upozorn�n� generovan�ch n�strojem je nejz�va�n�j�� upozorn�n� 80400, kter� nej�ast�ji znamen� skute�nou chybu. V�voj��i webu v k�du ASP mus� tyto chybu opravit pomoc� parametrizovan�ch dotaz�. Dal�� informace o pou�it� parametrizovan�ch dotaz� SQL v k�du ASP naleznete na n�sleduj�c�m webu spole�nosti Microsoft:

http://msdn.microsoft.com/en-us/library/cc676512.aspx

(http://msdn.microsoft.com/en-us/library/cc676512.aspx)

Omezen�

N�stroj m� n�sleduj�c� zn�m� omezen�:

N�stroj um� pracovat pouze s k�dem ASP napsan�m v jazyce VBScript. V sou�asnosti neum� analyzovat k�d na stran� serveru napsan� v jin�ch jazyc�ch (nap��klad v jazyce Jscript).
V r�mci procesu v�voje tohoto n�stroje byl vyvinut nov� analyz�tor ASP. Tento analyz�tor v�ak nemus� um�t zpracovat v�echny konstrukty ASP. Mohou b�t tedy hl�eny chyby analyz�toru.

Zp�t nahoru | Dejte n�m zp�tnou vazbu

Odkazy

N�stroj Microsoft Source Code Analyzer for SQL Injection m��ete st�hnout na n�sleduj�c�m webu spole�nosti Microsoft:

http://www.microsoft.com/downloads/details.aspx?FamilyId=58A7C46E-A599-4FCB-9AB4-A4334146B6BA

(http://www.microsoft.com/downloads/details.aspx?FamilyId=58A7C46E-A599-4FCB-9AB4-A4334146B6BA)

Dal�� informace dokumentuj�c� r�zn� doporu�en� postupy naleznete na n�sleduj�c�m webu spole�nosti Microsoft:

http://blogs.technet.com/swi/archive/2008/05/29/sql-injection-attack.aspx

(http://blogs.technet.com/swi/archive/2008/05/29/sql-injection-attack.aspx)

Dal�� informace o tom, jak zabr�nit vlo�en� SQL v k�du ASP, naleznete na n�sleduj�c�m webu spole�nosti Microsoft:

http://msdn.microsoft.com/en-us/library/cc676512.aspx

(http://msdn.microsoft.com/en-us/library/cc676512.aspx)

Dal�� informace o �toc�ch pomoc� vlo�en� SQL naleznete na n�sleduj�c�m webu spole�nosti Microsoft:

http://blogs.msdn.com/sdl/archive/2008/05/15/giving-sql-injection-the-respect-it-deserves.aspx

(http://blogs.msdn.com/sdl/archive/2008/05/15/giving-sql-injection-the-respect-it-deserves.aspx)

Dal�� informace o popisovan�m n�stroji naleznete na n�sleduj�c�m webu spole�nosti Microsoft:

http://blogs.msdn.com/sqlsecurity

(http://blogs.msdn.com/sqlsecurity)

Diskusi o n�stroji naleznete v s�ti MSDN ve f�ru v�novan�m zabezpe�en� SQL na n�sleduj�c�m webu spole�nosti Microsoft:

http://forums.microsoft.com/msdn/ShowForum.aspx?ForumID=92&SiteID=1

(http://forums.microsoft.com/msdn/ShowForum.aspx?ForumID=92&SiteID=1)

Zp�t nahoru | Dejte n�m zp�tnou vazbu

Vlastnosti

ID �l�nku: 954476 - Posledn� aktualizace: 27. �ervna 2008 - Revize: 1.0

Informace v tomto �l�nku jsou ur�eny pro produkt:

Microsoft ASP.NET 2.0

atdownload kbexpertiseadvanced kbcode kbexpertiseinter kbinfo kbsecadvisory kbsecurity kbsecvulnerability KB954476

Zp�t nahoru | Dejte n�m zp�tnou vazbu

Dejte n�m zp�tnou vazbu

Zp�t nahoru

Select the product you need help with

Je k dispozici n�stroj Microsoft Source Code Analyzer for SQL Injection, kter� odhal� v k�du ASP zranitelnosti v��i vlo�en� SQL

Na t�to str�nce

�VOD

Dal�� informace

Po�adavky

Probl�my s vlo�en�m SQL v k�du ASP

Pou�it�

Syntaxe

Popis

Seznam parametr�

P��klady

Pr�ce s v�stupem n�stroje

Omezen�

Odkazy

Vlastnosti

Informace v tomto �l�nku jsou ur�eny pro produkt:

Kl��ov� slova:�

Dejte n�m zp�tnou vazbu

P�eklady �l�nku