一、什麼是SQL注入式攻擊？
所謂SQL注入式攻擊，就是攻擊者把SQL指令插入Web表單的輸入網域或頁面請求的查詢字串，欺騙伺服器執行惡意的SQL指令。在某些表單中，使用者輸入的內容直接用來建構（或影響）動態SQL指令，或作為預存程序的輸入參數，這類表單特別容易受到SQL注入式攻擊。常見的SQL注入式攻擊過程類別如：
⑴ 某個ASP.NET Web應用程式有一個登入頁面，這個登入頁面控制著使用者是否有權利存取應用，它要求使用者輸入一個名稱和密碼。
⑵ 登入頁面中輸入的內容將直接用來建構動態的SQL指令，或直接用作預存程序的參數。以下是ASP.NET應用程式建構查詢的一個例子：
System.Text.StringBuilder query = new System.Text.StringBuilder(
"SELECT * 從 Users WHERE login = '")
.Append(txtLogin.Text).Append("' AND password='")
.Append(txtPassword.Text).Append("'");
⑶ 攻擊者在使用者名字和密碼輸入框中輸入"'或'1'='1"之類的內容。
⑷ 使用者輸入的內容提交給伺服器之後，伺服器執行上面的ASP.NET程式碼建構出查詢使用者的SQL指令，但由於攻擊者輸入的內容非常特殊，所以最後得到的SQL指令變成：SELECT * from Users WHERE login = '' or '1'='1' AND password = '' or '1'='1'。
⑸ 伺服器執行查詢或預存程序，將使用者輸入的身份資訊和伺服器中儲存的識別資訊進行比較。
⑹ 由於SQL指令實際上已被注入式攻擊修改，已經無法真正驗證使用者身份，所以系統會錯誤地授權給攻擊者。
如果攻擊者知道應用程式會將表單中輸入的內容直接用於驗證身分的查詢，他就會嘗試輸入某些特殊的SQL字串篡改查詢來改變其原來的功能，欺騙系統授予存取權限。
系統環境不同，攻擊者可能造成的損害也不同，這主要由應用程式存取資料庫的安全權限決定。如果使用者的帳戶具有管理員或其他比較高級的權限，攻擊者就可能對資料庫的表執行各種他想要做的操作，包括添加、刪除或更新數據，甚至可能直接刪除表。
二、如何防範？
還好要防止ASP.NET應用被SQL注入式攻擊闖入並不是一件特別困難的事情，只要在利用表單輸入的內容建構SQL指令之前，把所有輸入內容過濾一番就可以了。過濾輸入內容可以多種方式進行。
⑴ 對於動態建構SQL查詢的場合，可以使用下面的技術：
第一：替換單引號，也就是把所有單獨出現的單引號改成兩個單引號，防止攻擊者修改SQL指令的涵義。再來看前面的例子，"SELECT * from Users WHERE login = ''' or ''1''=''1' AND password = ''' or ''1''=''1'"顯然會得到與"SELECT * from Users WHERE login = '' or '1'='1' AND password = '' or '1'='1'"不同的結果。
第二：刪除使用者輸入內容中的所有連字符，並防止攻擊者建構出類別如"SELECT * from Users WHERE login = 'mas' -- AND password =''"之類的查詢，因為這類查詢的後半部已經被註解掉，不再有效，攻擊者只要知道一個合法的使用者登入名稱，根本不需要知道使用者的密碼就可以順利取得存取權限。
第三：對於用來執行查詢的資料庫帳戶，限制其權限。用不同的使用者帳號執行查詢、插入、更新、刪除操作。由於隔離了不同帳號可執行的操作，因而也就防止了原本用於執行SELECT指令的地方卻被用來執行INSERT、UPDATE或DELETE指令。
⑵ 用預存程序來執行所有的查詢。 SQL參數的傳遞方式將防止攻擊者利用單引號和連字號實施攻擊。此外，它還使得資料庫權限可以限製到只允許特定的預存程序執行，所有的使用者輸入必須遵從被呼叫的預存程序的安全上下文，這樣就很難再發生注入式攻擊了。
⑶ 限製表單或查詢字串輸入的長度。如果用戶的登入名字最多只有10個字符，那麼不要認可表單中輸入的10個以上的字符，這將大大增加攻擊者在SQL命令中插入有害代碼的難度。
⑷ 檢查使用者輸入的合法性，確信輸入的內容只包含合法的資料。資料檢查應在客戶端和伺服器端都執行－之所以要執行伺服器端驗證，是為了彌補客戶端驗證機制脆弱的安全性。
在客戶端，攻擊者完全有可能獲得網頁的原始程式碼，修改驗證合法性的腳本（或直接刪除腳本），然後將非法內容透過修改後的表單提交給伺服器。因此，要確保驗證操作確實已經執行，唯一的方法就是在伺服器端也執行驗證。你可以使用許多內建的驗證對象，例如RegularExpressionValidator，它們能夠自動產生驗證用的客戶端腳本，當然也可以插入伺服器端的方法呼叫。如果找不到現成的驗證對象，你可以透過CustomValidator自己建立一個。
⑸ 將使用者登入名稱、密碼等資料加密儲存。加密使用者輸入的數據，然後再將它與資料庫中保存的資料比較，這相當於對使用者輸入的資料進行了"消毒"處理，使用者輸入的資料不再對資料庫有任何特殊的意義，從而也就防止了攻擊者註入SQL指令。 System.Web.Security.FormsAuthentication類別有一個HashPasswordForStoringInConfigFile，非常適合用於消毒輸入資料。
⑹ 檢查擷取資料的查詢所傳回的記錄數量。如果程式只要求傳回一個記錄，但實際傳回的記錄卻超過一行，那就當出錯處理。