Oturum a�

Select the product you need help with

ASP koduna SQL ekleme g�venlik a��klar�n� bulmay� sa�layan Microsoft Source Code Analyzer for SQL Injection arac� kullan�ma sunuldu

Makale numaras�: 954476 - Bu makalenin ge�erli oldu�u �r�nleri g�r�n.

G�R��

Bu makalede, Microsoft Source Code Analyzer for SQL Injection arac� a��klan�r. ASP koduna SQL ekleme g�venlik a��klar�n� bulmak i�in bu statik kod ��z�mleme arac�n� kullanabilirsiniz.

�ste | Geri Bildirim Ver

Microsoft Source Code Analyzer for SQL Injection arac�, Active Server Pages (ASP) koduna SQL ekleme g�venlik a��klar�n� bulman�za yard�mc� olan bir statik kod ��z�mleme arac�d�r. Bu makalede, arac� kullanma, ara� taraf�ndan olu�turulan uyar�lar ve arac�n k�s�tlamalar� a��klan�r. Daha fazla bilgi i�in arac�n Benioku belgesine bak�n.

�nko�ullar

Bu komut sat�r� arac� a�a��daki yaz�l�m� gerektirir:

.NET Framework 3.0

ASP koduna SQL ekleme sorunlar�

ASP kodunda Request.Form veya Request.Querystring koleksiyonlar�ndan al�nan, kullan�c� taraf�ndan sa�lanan veriler dinamik SQL deyimleri olu�turmak �zere veri do�rulamas� yap�lmadan kullan�l�yorsa, bir sald�rgan SQL deyimine SQL komutlar� ekleyebilir ve bunu k�t� ama�l� olarak kullanabilir. Bu, genelde Birinci D�zey SQL ekleme g�venlik a�� olarak bilinir.

Kullan�c� giri�i bir ASP sayfas� kullan�larak veritaban�nda depolan�yorsa ve sonra bu kullan�c� giri�i veritaban�ndan al�narak farkl� bir ASP sayfas�nda dinamik SQL deyimleri olu�turmak i�in kullan�l�yorsa, bir sald�rgan SQL deyimine SQL komutlar� ekleyebilir ve bunu k�t� ama�l� olarak kullanabilir. Bu, genelde �kinci D�zey SQL ekleme g�venlik a�� olarak bilinir.

Bu g�venlik a��klar�n� azaltmak i�in en iyi y�ntem parametre tabanl� SQL sorgular� kullanmakt�r. ASP'ye SQL ekleme g�venlik a��klar� ve bu g�venlik a��klar�n� azaltma y�ntemleri hakk�nda daha fazla bilgi i�in a�a��daki Microsoft Web sitesini ziyaret edin:

http://msdn.microsoft.com/en-us/library/cc676512.aspx

(http://msdn.microsoft.com/en-us/library/cc676512.aspx)

Microsoft Source Code Analyzer for SQL Injection arac� bu sorunlardan baz�lar�n� otomatik olarak bulman�za yard�m� olur.

Kullan�m

Bu b�l�m arac� kullanmay� a��klar.

S�zdizimi

Ara� a�a��daki s�zdizimini kullan�r:

msscasi_asp.exe [/nologo] [/quiet] [/suppress=num;..;num] [/GlobalAsaPath=path] [/IncludePaths=path;..;path] /Input=file.asp

A��klama

Ara�, ASP kodunu SQL ekleme g�venlik a��klar� a��s�ndan ��z�mler.

Parametre listesi

Bu tabloyu kapaBu tabloyu a�

Parametre	Se�enek	A��klama
/GlobalAsaPath	yol	Global.asa dosyas�n�n yolunu g�r�nt�ler.
/IncludePaths	yollar	Sanal yollar kullan�larak eklenen dosyalar� ��z�mlemek i�in noktal� virg�lle ayr�lm�� yollar g�r�nt�ler.
/input	asp dosyas�	��z�mlenmesi gereken ASP dosyas�n�n mutlak yolunu g�r�nt�ler.
/suppress warnings		Uyar�lar raporlanmaz.
/nologo		Arac�n logosu g�r�nt�lenmez.
/quiet		Ayr��t�rma hatalar� g�r�nt�lenmez. /nologo ve /quiet anahtarlar�n� kulland��n�zda, yaln�zca uyar� iletileri g�r�nt�lenir.

�rnekler

MSSCASI_ASP /input="c:\kaynak\oturum.asp"

MSSCASI_ASP /GlobalAsaPath="C:\kaynak" /input="c:\kaynak\webogeleri\goruntu.asp"

MSSCASI_ASP /GlobalAsaPath="C:\kaynak" /input="c:\kaynak\webogeleri\goruntu.asp" /IncludePaths="C:\sanaldizin1;C:\sanaldizin2"

MSSCASI_ASP /input="c:\kaynak\webogeleri\goruntu.asp" /suppress="80406;80407"

��kt�y� g�zden ge�irme

Ara� a�a��daki uyar�lar� olu�turur:

Bu tabloyu kapaBu tabloyu a�

Uyar�	A��klama
80400	Request nesnesinden giri� do�rulamas� yap�lmadan okunan veriler arac�l��yla olu�an olas� SQL ekleme g�venlik a��. Bu uyar�lar d�zeltilmesi gereken olas� hatalard�r.
80406	Giri�in, veri do�rulamas� ger�ekle�tirebilecek baz� bilinmeyen i�lev �a�r�lar� �zerinden ge�irildi�i Request nesnesinden okunan veriler arac�l��yla olu�an olas� SQL ekleme g�venlik a��. ��lev �a�r�s� i�inde veri do�rulamas� ger�ekle�tirilmiyorsa, bunlar olas� hatalard�r. Tersi durumda, bunlar yanl�� uyar� durumlar� olur.
80403	Veri arac�l��yla olu�an olas� SQL ekleme g�venlik a�� arka u� sunucusundan gelir. Veriler son kullan�c� taraf�ndan ba�ka baz� Web siteleri arac�l��yla denetleniyorsa, bunlar olas� hatalard�r. Ancak verilere g�veniliyorsa, hata olmayabilirler. Daha kapsaml� bir koruma stratejisinin par�as� olarak, bu sorgular� yine de parametre tabanl� yapmak iyi bir uygulama y�ntemidir.
80407	Arka u� sunucusundan gelen ve baz� bilinmeyen i�lev �a�r�lar� �zerinden ge�en veriler arac�l��yla olu�an olas� SQL ekleme g�venlik a��. Veriler son kullan�c� taraf�ndan ba�ka baz� Web siteleri arac�l��yla denetleniyorsa ve bu veriler �zerinde veri do�rulamas� ger�ekle�tirilmiyorsa, bunlar olas� hatalard�r.
80420	��lev parametreleri yoluyla olu�an olas� SQL ekleme g�venlik a��. Bu uyar�lar i�lev kapsam�nda olu�turulur. Bu nedenle, i�lev parametresi de�erleri g�venilen kaynaklardan geliyorsa, bunlar yanl�� uyar� durumlar�d�r. Parametre de�erleri son kullan�c� taraf�ndan denetleniyorsa, bunlar olas� hatalard�r. Son kullan�c�lar�n bu koda ula��p ula�amad��n� belirlemek i�in i�lev parametrelerinde __sql_pre_validated a��klamas�n� kullanabilirsiniz.
80421	��lev parametreleri arac�l��yla olu�an olas� SQL ekleme g�venlik a�� ve veri do�rulamas� ger�ekle�tirebilecek baz� bilinmeyen i�lev �a�r�lar� arac�l��yla ge�irilen i�lev parametreleri. Son kullan�c�lar�n bu koda ula��p ula�amad��n� belirlemek i�in i�lev parametrelerinde __sql_pre_validated a��klamas�n� ve do�rulama i�levinde __sql_validate a��klamas�n� kullanabilirsiniz.

Arac�n olu�turdu�u t�m uyar�lar aras�nda 80400 uyar�s�, �ok b�y�k olas�l�kla ger�ek hatalar� g�sterir. ASP Web geli�tiricileri parametre tabanl� sorgular kullanarak bu hatalar� d�zeltmelidir. ASP kodunda parametre tabanl� SQL sorgular� kullanma hakk�nda daha fazla bilgi i�in a�a��daki Microsoft Web sitesini ziyaret edin:

http://msdn.microsoft.com/en-us/library/cc676512.aspx

(http://msdn.microsoft.com/en-us/library/cc676512.aspx)

K�s�tlamalar

Ara�ta a�a��daki bilinen k�s�tlamalar vard�r:

Ara� yaln�zca VBScript ile yaz�lan ASP kodunu ��z�mler. Jscript gibi ba�ka dillerde yaz�lan sunucu taraf� kodunu �u anda ��z�mleyememektedir.
Bu arac�n geli�tirme s�recinin par�as� olarak yeni bir ASP ayr��t�r�c� geli�tirilmi�tir. Ancak bu ayr��t�r�c� t�m ASP yap�lar�n� kapsamayabilir. Bu nedenle, baz� ayr��t�rma hatalar� g�rebilirsiniz.

�ste | Geri Bildirim Ver

Referanslar

Microsoft Source Code Analyzer for SQL Injection arac�n� kar��dan y�klemek i�in a�a��daki Microsoft Web sitesini ziyaret edin:

http://www.microsoft.com/downloads/details.aspx?FamilyId=58A7C46E-A599-4FCB-9AB4-A4334146B6BA

(http://www.microsoft.com/downloads/details.aspx?FamilyId=58A7C46E-A599-4FCB-9AB4-A4334146B6BA)

En iyi y�ntemleri a��klayan �e�itli belgeler hakk�nda daha fazla bilgi i�in a�a��daki Microsoft Web sitesini ziyaret edin:

http://blogs.technet.com/swi/archive/2008/05/29/sql-injection-attack.aspx

(http://blogs.technet.com/swi/archive/2008/05/29/sql-injection-attack.aspx)

ASP'de SQL eklemelerini engelleme hakk�nda daha fazla bilgi i�in a�a��daki Microsoft Web sitesini ziyaret edin:

http://msdn.microsoft.com/en-us/library/cc676512.aspx

(http://msdn.microsoft.com/en-us/library/cc676512.aspx)

SQL ekleme sald�r�lar� hakk�nda daha fazla bilgi i�in a�a��daki Microsoft Web sitesini ziyaret edin:

http://blogs.msdn.com/sdl/archive/2008/05/15/giving-sql-injection-the-respect-it-deserves.aspx

(http://blogs.msdn.com/sdl/archive/2008/05/15/giving-sql-injection-the-respect-it-deserves.aspx)

Ara� hakk�nda daha fazla bilgi i�in a�a��daki Microsoft Web sitesini ziyaret edin:

http://blogs.msdn.com/sqlsecurity

(http://blogs.msdn.com/sqlsecurity)

MSDN SQL G�venli�i forumunda ara� �zerinde tart��ma yapmak i�in a�a��daki Microsoft Web sitesini ziyaret edin:

http://forums.microsoft.com/msdn/ShowForum.aspx?ForumID=92&SiteID=1

(http://forums.microsoft.com/msdn/ShowForum.aspx?ForumID=92&SiteID=1)

�ste | Geri Bildirim Ver

�zellikler

Makale numaras�: 954476 - Son G�zden Ge�irme: 27 Haziran 2008 Cuma - G�zden ge�irme: 1.0

Bu makaledeki bilginin uyguland�� durum:

Microsoft ASP.NET 2.0

atdownload kbexpertiseadvanced kbcode kbexpertiseinter kbinfo kbsecadvisory kbsecurity kbsecvulnerability KB954476

�ste | Geri Bildirim Ver

Geri Bildirim Ver

�ste

Select the product you need help with

ASP koduna SQL ekleme g�venlik a��klar�n� bulmay� sa�layan Microsoft Source Code Analyzer for SQL Injection arac� kullan�ma sunuldu

Bu Sayfada

G�R��

Daha fazla bilgi

�nko�ullar

ASP koduna SQL ekleme sorunlar�

Kullan�m

S�zdizimi

A��klama

Parametre listesi

�rnekler

��kt�y� g�zden ge�irme

K�s�tlamalar

Referanslar

�zellikler

Bu makaledeki bilginin uyguland�� durum:

Anahtar Kelimeler:�

Geri Bildirim Ver

Makale �evirileri

Select the product you need help with

ASP koduna SQL ekleme g�venlik a��klar�n� bulmay� sa�layan Microsoft Source Code Analyzer for SQL Injection arac� kullan�ma sunuldu

Bu Sayfada

G�R��

Daha fazla bilgi

�nko�ullar

ASP koduna SQL ekleme sorunlar�

Kullan�m

S�zdizimi

A��klama

Parametre listesi

�rnekler

��kt�y� g�zden ge�irme

K�s�tlamalar

Referanslar

�zellikler

Bu makaledeki bilginin uyguland��� durum:

Anahtar Kelimeler:�

Geri Bildirim Ver

Makale �evirileri

Bu makaledeki bilginin uyguland�� durum: