C#のSQLインジェクション対策について

Question

前提・実現したいこと

C#を用いて、データーベース(PostgreSQL)の更新、削除などを行っています。
その際SQLインジェクション対策をしたく、色々と調べてみたのですがいまいち理解できなかったため
質問させていただきます。

該当のソースコード

using System;
using Npgsql;
namespace C
{
	class Data_Select
	{
		public Select(string storage)
		{
			//接続文字列
			string conn_str = "Server=111.111.11.111;Port=5432;User ID=postgres;Database=111;Password=111;Enlist=true";
			using (NpgsqlConnection conn = new NpgsqlConnection(conn_str))
			{
				conn.Open();
				NpgsqlTransaction tran = conn.BeginTransaction();
				string sql = @" select * FROM syain WHERE id =" + storage + ";";
				NpgsqlCommand cmd = new NpgsqlCommand(sql, conn);
				using (NpgsqlDataReader dr = cmd.ExecuteReader())
				{}
				conn.Close();
			}
		}
	}
}

試したこと

using System;
using Npgsql;
namespace C
{
	class Data_Select
	{
		public Select(string storage)
		{
			//接続文字列
			string conn_str = "Server=111.111.11.111;Port=5432;User ID=postgres;Database=111;Password=111;Enlist=true";
			using (NpgsqlConnection conn = new NpgsqlConnection(conn_str))
			{
				conn.Open();
					using (NpgsqlCommand command = new NpgsqlCommand(@" select * FROM syain WHERE id = :value1", conn))
				{
					command.Parameters.Add(new NpgsqlParameter("value1", NpgsqlDbType.Integer));
					command.Parameters[0].Value =int.Parse(storage);
　　　　　　　　　　　　　　　　　　　　　　//command.Parameters[1].Value =int.Parse(storage1);
                                        //command.Parameters[1].Value =int.Parse(storage2);
                                       //ここに一個一個挿入する値を書く？
					//クエリ実行
					using (NpgsqlDataReader dr = command.ExecuteReader())
					{}
				conn.Close();
			}
		}
	}
}

とあるサイトを参考に書いてみて実行も出来たのですが、これでSQLインジェクション対策はできているのでしょうか？

Comments

[YAmaGNZ]

いろいろ調べられたそうですが、どういったページを調べて何が分からなかったのでしょうか？

[sousuke]

例えばstorageに『1 or 1=1』という値をいれるとSQLはどうなって、その実行結果がどうなるか理解できていますか？

[m.ts10806]

調べて出てくる内容では何が足りなかったのでしょう。
「SQLインジェクション」という絶対的なキーワードをご存じなのであれば、この質問内容を書いている間に調べて試せる範囲ではないでしょうか。

[退会済みユーザー]

プロバイダによって SQL インジェクション防止対策は違ってくるようですが、何にせよ以下のように SQL 文をユーザー入力で組み立てるということは最もやってはいけないことには間違いないです。

string sql = @" select * FROM syain WHERE id =" + storage + ";";

あとは「C# PostgreSQL sql injection」などをキーワードにググって自助努力で調べてください。それでどうしても分からないことがあれば、その URL を示して、その記事のどこそこが分からないから教えてほしいというような質問にすることをお勧めします。

Answer 1

とあるサイトを参考に書いてみて実行も出来たのですが、これでSQLインジェクション対策はできているのでしょうか？

パラメータ化クエリを使うように変更したのですね。

プロバイダによりますが、パラメータの入力はリテラルとして扱われるから SQL インジェクション攻撃を防ぐことができると言われています。

ただ、以下の Microsoft の記事に書いてあることですが、"高いスキルを持つ決然たる攻撃者は、パラメータ化されたデータであっても操作できるのです" ということですので、その記事に書いてある「すべての入力の検証」なども考えた方がよいと思います。

SQL インジェクション
https://docs.microsoft.com/ja-jp/previous-versions/sql/sql-server-2008/ms161953(v=sql.100)

Comments

[Zuishin]

すべての入力の検証は大事ですね。

たとえば id が int になっていますが、int と解釈できない文字列、または対応できる範囲外の値になるものを送るとエラーが出る可能性があり、そのエラーメッセージからデータベースの内容を推察できるとすればそれは SQL インジェクションになると思います。

質問のコードは int.Parse を使っているので、まさにここで例外が発生する可能性があります。

また、入力の検証とともに例外をキャッチし、ログに書き込むという処理も必要になってくると思いますし、万全を期すなら、そもそも不正な入力をする人を排除する仕組みも欲しいですね。