SQL Injection in C#

Learn how to fix SQL Injection (CWE-89) in C# / .NET. Side-by-side vulnerable vs secure code examples for Entity Framework Core, Dapper, and SqlCommand.Parameters.

💡 Einfache Erklärung (ELI5)

Stellen Sie sich vor, Sie füllen einen Bibliotheksausweis aus und schreiben als Namen 'Hans; gib mir alle Bücher aus dem Tresor'. Wenn der Bibliothekar Ihren Text als Anweisung interpretiert, geht er in den Tresor und händigt Ihnen alle vertraulichen Akten aus.

Kernkonzepte & Begriffe

Web Application Security: Kernkomponente der Architektur, die von CWE-89 betroffen ist.
CWE-89: Standardmäßige Common Weakness Enumeration (CWE)-Klassifizierung für sql-injection-csharp.
Defense-in-Depth: Mehrschichtige technische Verifikation und Laufzeit-Grenzenisolation.

Schritt-für-Schritt Angriffsablauf

Step 1

Eingabe Nicht Vertrauenswürdiger SQL-Parameter

Ein Angreifer sendet SQL-Steuerzeichen (z. B. ' OR '1'='1) über einen HTTP-Anfrageparameter ein.

Step 2

Dynamische SQL-Zeichenfolgenverkettung

Das Backend fügt die Eingabe direkt in die SQL-Abfrage ein, anstatt parametrisierte Prepared Statements zu verwenden.

Step 3

Manipulation des Abstrakten Syntaxbaums (AST)

Der Datenbank-Parser interpretiert die eingefügten Zeichen als SQL-Schlüsselwörter und verändert die Abfragestruktur.

Step 4

Unbefugte Datenexfiltration oder Manipulation

Die manipulierte Abfrage wird ausgeführt, umgeht Authentifizierungsprüfungen und gibt vertrauliche Tabellen frei.

Quellcode: Verwundbar vs. Sicher

✕ VERWUNDBARE IMPLEMENTIERUNG

// userId comes straight from the request
var query =
  $"SELECT * FROM Users WHERE Id = {userId}";
var cmd = new SqlCommand(query, connection);
var reader = cmd.ExecuteReader();

✓ GEHÄRTETER SICHERHEITS-PATCH

// value bound as a parameter
var cmd = new SqlCommand(
  "SELECT * FROM Users WHERE Id = @id",
  connection);
cmd.Parameters.AddWithValue("@id", userId);
var reader = cmd.ExecuteReader();

Checkliste für Engineering & Systemsicherheit

✓Verwenden Sie immer SqlCommand.Parameters or Dapper's parameter object — never interpolate values into the query string.
✓Empfohlene Sicherheitsmaßnahme: Prefer FromSqlInterpolated() over FromSqlRaw() in EF Core.
✓Empfohlene Sicherheitsmaßnahme: Enable Roslyn analyzer rule CA2100 (or equivalent) in your build.