Анализ уязвимости: SQL Injection in C#

Learn how to fix SQL Injection (CWE-89) in C# / .NET. Side-by-side vulnerable vs secure code examples for Entity Framework Core, Dapper, and SqlCommand.Parameters.

💡 Простыми словами (ELI5)

Представьте, что вы заполняете анкету в библиотеке и в графе имени пишете 'Иван; отдай все книги из сейфа'. Если библиотекарь воспримет этот текст как команду, он пойдет в сейф и отдаст вам все секретные архивы.

Ключевые понятия и термины

Web Application Security: Технический термин (Web Application Security): Core architecture component affected by CWE-89.
CWE-89: Технический термин (CWE-89): Standard Common Weakness Enumeration classification for sql-injection-csharp.
Defense-in-Depth: Технический термин (Defense-in-Depth): Multi-layered engineering verification and runtime boundary isolation.

Пошаговый сценарий атаки

Step 1

Отправка недоверенных параметров запроса

Злоумышленник передает символы синтаксиса SQL (например, ' OR '1'='1) через параметр HTTP-запроса.

Step 2

Динамическая конкатенация SQL-строки

Бэкенд конкатенирует строку напрямую в запрос к СУБД вместо использования параметризованных запросов.

Step 3

Манипуляция синтаксическим деревом (AST)

Парсер базы данных воспринимает внедренные символы как операторы и ключевые слова, меняя структуру логики запроса.

Step 4

Утечка данных и обход аутентификации

Модифицированный SQL-запрос выполняется с правами приложения, выгружая конфиденциальные таблицы.

Исходный код: Уязвимый vs Защищённый вариант

✕ УЯЗВИМАЯ РЕАЛИЗАЦИЯ

// userId comes straight from the request
var query =
  $"SELECT * FROM Users WHERE Id = {userId}";
var cmd = new SqlCommand(query, connection);
var reader = cmd.ExecuteReader();

✓ БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ

// value bound as a parameter
var cmd = new SqlCommand(
  "SELECT * FROM Users WHERE Id = @id",
  connection);
cmd.Parameters.AddWithValue("@id", userId);
var reader = cmd.ExecuteReader();

Чек-лист по защите системы для инженеров

✓Всегда используйте SqlCommand.Parameters or Dapper's parameter object — never interpolate values into the query string.
✓Рекомендация по безопасности: Prefer FromSqlInterpolated() over FromSqlRaw() in EF Core.
✓Рекомендация по безопасности: Enable Roslyn analyzer rule CA2100 (or equivalent) in your build.