Logga in

Select the product you need help with

Microsoft-verktyget Source Code Analyzer for SQL Injection kan anv�ndas f�r att hitta s�kerhetsproblem i ASP-kod som beror p� SQL-injektering

Artikel-id: 954476 - Visa produkter som artikeln g�ller.

I den h�r artikeln beskrivs Microsoft-verktyget Source Code Analyzer for SQL Injection. Detta analysverktyg f�r statisk kod kan anv�ndas f�r att hitta s�kerhetsproblem i ASP-kod som beror p� SQL-injektering.

Tillbaka till b�rjan | Ge feedback

Mer Information

Microsoft-verktyget Source Code Analyzer for SQL Injection �r ett analysverktyg f�r statisk kod som anv�nds f�r att hitta s�kerhetsproblem i ASP-kod (Active Server Pages) som beror p� SQL-injektering. I den h�r artikeln beskrivs anv�ndning av verktyget, varningar som genereras och begr�nsningar. Mer information finns i Readme-dokumentet f�r verktyget.

F�ruts�ttningar

Detta kommandoradsverktyg kr�ver f�ljande program:

.NET Framework 3.0

SQL-injekteringsproblem i ASP-kod

Om anv�ndardefinierade data fr�n Request.Form- eller Request.Querystring-samlingar i ASP-kod anv�nds f�r att konstruera dynamiska SQL-uttryck utan n�gon datavalidering, kan en angripare infoga SQL-kommandon i ett SQL-uttryck och sedan missbruka det. Detta kallas ofta ett First Order SQL injection vulnerability (F�rsta ordningens s�kerhetsproblem p� grund av SQL-injektering).

Om anv�ndarindata lagras i en databas med hj�lp av en ASP-sida, och dessa anv�ndarindata sedan h�mtas fr�n databasen och anv�nds f�r att konstruera dynamiska SQL-uttryck p� en annan ASP-sida, kan en angripare infoga SQL-kommandon i ett SQL-uttryck och missbruka det. Detta kallas i allm�nhet ett Second Order SQL injection vulnerability (Andra ordningens s�kerhetsproblem p� grund av SQL-injektering).

Dessa s�kerhetsproblem reduceras l�mpligen med parametriserade SQL-fr�gor. Mer information om s�kerhetsproblem i ASP som beror p� SQL-injektering och om olika s�tt att reducera dessa s�kerhetsproblem finns p� f�ljande Microsoft-webbplats:

http://msdn.microsoft.com/en-us/library/cc676512.aspx

(http://msdn.microsoft.com/en-us/library/cc676512.aspx)

Microsoft-verktyget Source Code Analyzer for SQL Injection hj�lper dig att hitta vissa av dessa problem automatiskt.

Anv�ndning

I detta avsnitt beskrivs anv�ndning av verktyget.

Syntax

I verktyget anv�nds f�ljande syntax:

msscasi_asp.exe [/nologo] [/quiet] [/suppress=num;..;num] [/GlobalAsaPath=path] [/IncludePaths=path;..;path] /Input=file.asp

Beskrivning

Verktyget s�ker efter s�kerhetsproblem i ASP-kod som beror p� SQL-injektering.

Parameterlista

D�lj tabellenVisa tabellen

Parameter	Alternativ	Beskrivning
/GlobalAsaPath	s�kv�g	Visar s�kv�gen till filen Global.asa.
/IncludePaths	s�kv�gar	Visar semikolonavgr�nsade s�kv�gar f�r matchning av filer som ing�r med hj�lp av virtuella s�kv�gar.
/input	asp-fil	Visar den absoluta s�kv�gen till den ASP-fil som m�ste analyseras.
/suppress warnings		Varningar rapporteras inte.
/nologo		Verktygslogotypen visas inte.
/quiet		Tolkningsfel visas inte. N�r du anv�nder v�xlarna /nologo och /quiet visas bara varningsmeddelandena.

Exempel

MSSCASI_ASP /input="c:\source\logon.asp"

MSSCASI_ASP /GlobalAsaPath="C:\source" /input="c:\source\webitems\display.asp"

MSSCASI_ASP /GlobalAsaPath="C:\source" /input="c:\source\webitems\display.asp" /IncludePaths="C:\virtualdirectory1;C:\virtualdirectory2"

MSSCASI_ASP /input="c:\source\webitems\display.asp" /suppress="80406;80407"

Granska utdata

Verktyget genererar f�ljande varningar:

D�lj tabellenVisa tabellen

Varning	Beskrivning
80400	M�jligt s�kerhetsproblem p� grund av SQL-injektering genom data som l�ses fr�n Request-objektet utan n�gon indatavalidering. Dessa varningar �r med st�rsta sannolikhet programfel som m�ste �tg�rdas.
80406	M�jligt s�kerhetsproblem p� grund av SQL-injektering genom data som l�ses fr�n Request-objektet, d�r indata �verf�rs genom ok�nda funktionsanrop som kan utf�ra datavalidering. Om ingen datavalidering utf�rs i funktionsanropet r�r det sig med st�rsta sannolikhet om programfel. Annars �r det falska positiva resultat.
80403	M�jligt s�kerhetsproblem p� grund av SQL-injektering genom data som kommer fr�n en backend-server. Om data kontrolleras av en slutanv�ndare genom n�gon annan webbplats r�r det sig med st�rsta sannolikhet om programfel. Om data �r tillf�rlitliga �r det emellertid kanske inte programfel. Det �r �nd� l�mpligt att parametrisera dessa fr�gor som en del av en strategi f�r djupf�rsvar.
80407	M�jligt s�kerhetsproblem p� grund av SQL-injektering genom data som kommer fr�n en backend-server och �verf�rs genom ok�nda funktionsanrop. Om data kontrolleras av en slutanv�ndare genom n�gra andra webbplatser, och det inte f�rekommer n�gon validering av dessa data, r�r det sig med st�rsta sannolikhet om programfel.
80420	M�jligt s�kerhetsproblem p� grund av SQL-injektering genom funktionsparametrar. Dessa varningar genereras vid funktionsscope. Om funktionsparameterv�rdena kommer fr�n betrodda k�llor �r detta d�rf�r falska positiva resultat. Om parameterv�rdena kontrolleras av slutanv�ndare r�r det sig med st�rsta sannolikhet om programfel. Du kan anv�nda __sql_pre_validated-anteckningen p� funktionsparametrarna f�r att ta reda p� om slutanv�ndare kan n� denna kod.
80421	M�jligt s�kerhetsproblem p� grund av SQL-injektering genom funktionsparametrar, d�r funktionsparametrarna �verf�rs genom ok�nda funktionsanrop som kan utf�ra datavalidering. Du kan anv�nda __sql_pre_validated-anteckningen p� funktionsparametrarna och __sql_validate p� valideringsfunktionen f�r att ta reda p� om slutanv�ndare kan n� denna kod.

Av alla de varningar som genereras i verktyget �r varning 80400 den som mest sannolikt anger verkliga programfel. ASP-webbutvecklare m�ste �tg�rda dessa programfel med hj�lp av parametriserade fr�gor. Mer information om hur du anv�nder parametriserade SQL-fr�gor i ASP-kod finns p� f�ljande Microsoft-webbplats:

http://msdn.microsoft.com/en-us/library/cc676512.aspx

(http://msdn.microsoft.com/en-us/library/cc676512.aspx)

Begr�nsningar

Verktyget har f�ljande k�nda begr�nsningar:

Det f�rst�r bara ASP-kod som �r skriven i VBScript. Det analyserar f�r n�rvarande inte serverbaserad kod som �r skriven i ett annat spr�k, till exempel Jscript.
En ny ASP-tolk har utvecklats i samband med utvecklingen av detta verktyg, men denna tolk t�cker kanske inte in alla ASP-konstruktioner. D�rf�r kan det f�rekomma vissa tolkningsfel.

Tillbaka till b�rjan | Ge feedback

Referenser

Du kan h�mta Microsoft-verktyget Source Code Analyzer for SQL Injection p� f�ljande Microsoft-webbplats:

http://www.microsoft.com/downloads/details.aspx?FamilyId=58A7C46E-A599-4FCB-9AB4-A4334146B6BA

(http://www.microsoft.com/downloads/details.aspx?FamilyId=58A7C46E-A599-4FCB-9AB4-A4334146B6BA)

Mer information om dokumentation av olika rekommendationer finns p� f�ljande Microsoft-webbplats:

http://blogs.technet.com/swi/archive/2008/05/29/sql-injection-attack.aspx

(http://blogs.technet.com/swi/archive/2008/05/29/sql-injection-attack.aspx)

Mer information om hur man f�rhindrar SQL-injektering i ASP finns p� f�ljande Microsoft-webbplats:

http://msdn.microsoft.com/en-us/library/cc676512.aspx

(http://msdn.microsoft.com/en-us/library/cc676512.aspx)

Mer information om SQL-injekteringsangrepp finns p� f�ljande Microsoft-webbplats:

http://blogs.msdn.com/sdl/archive/2008/05/15/giving-sql-injection-the-respect-it-deserves.aspx

(http://blogs.msdn.com/sdl/archive/2008/05/15/giving-sql-injection-the-respect-it-deserves.aspx)

Mer information om verktyget finns p� f�ljande Microsoft-webbplats:

http://blogs.msdn.com/sqlsecurity

(http://blogs.msdn.com/sqlsecurity)

P� f�ljande Microsoft-webbplats kan du diskutera verktyget i MSDN SQL Security-forumet:

http://forums.microsoft.com/msdn/ShowForum.aspx?ForumID=92&SiteID=1

(http://forums.microsoft.com/msdn/ShowForum.aspx?ForumID=92&SiteID=1)

Tillbaka till b�rjan | Ge feedback

Egenskaper

Artikel-id: 954476 - Senaste granskning: den 27 juni 2008 - Revision: 1.0

Informationen i denna artikel g�ller:

Microsoft ASP.NET 2.0

atdownload kbexpertiseadvanced kbcode kbexpertiseinter kbinfo kbsecadvisory kbsecurity kbsecvulnerability KB954476

Tillbaka till b�rjan | Ge feedback

Ge feedback

Tillbaka till b�rjan

Select the product you need help with

Microsoft-verktyget Source Code Analyzer for SQL Injection kan anv�ndas f�r att hitta s�kerhetsproblem i ASP-kod som beror p� SQL-injektering

P� den h�r sidan

INLEDNING

Mer Information

F�ruts�ttningar

SQL-injekteringsproblem i ASP-kod

Anv�ndning

Syntax

Beskrivning

Parameterlista

Exempel

Granska utdata

Begr�nsningar

Referenser

Egenskaper

Informationen i denna artikel g�ller:

Nyckelord:�

Ge feedback

Artikel�vers�ttning