在软件开发领域，安全漏洞并非昙花一现的技术问题，它们常常卷土重来，带来不断演变的新威胁。其中，最持久的漏洞之一非 SQL 注入莫属。这听起来像是上世纪末或本世纪初遗留的问题，但即使到了 2025 年，依然在肆虐。根据 IBM 的报告，注入攻击位列数据泄露事件中最常被利用的攻击方式之一，占比超过 23%。
1.1 为何仍然盛行
这并非因为我们缺乏阻止它的工具，而是因为在快速的数字化转型中，我们常常以为自己已经赢了，从而忽视了最基本的安全实践。如下图所示，SQL 注入攻击在过去五年中稳步上升，从 2019 年的 6% 上升到 2024 年的 32%。这并非个例，而是一种趋势。
1.2 SQL注入的危害
简单来说，SQL 注入是一种将恶意内容插入与后端数据库交互的用户输入中的攻击方式。如果应用程序在处理用户输入时没有进行严格的验证或清理，攻击者就可以通过操纵输入字段，来改变原本设计的 SQL 查询语句。
这听起来微不足道，但其后果可能是灾难性的。攻击者可以利用这个漏洞来：
窃取敏感数据：访问、更改或删除数据库中存储的客户信息、财务数据等。
绕过认证：无需用户名和密码即可登录系统，获得管理权限。
破坏系统：执行危险的数据库操作，甚至在服务器上执行命令。
SQL 注入的危险性在于，看似简单的输入处理疏忽，都可能危及整个系统。在大型商业环境中，像客户注册或订单跟踪这样的复杂工作流，其底层都必须确保严格执行安全措施，因为一旦出错，风险极高。
在 .NET 应用程序中，SQL 注入漏洞通常出现在使用动态 SQL 语句时。开发者为了方便和灵活性，常常使用字符串拼接或 string.Format 等方法来构建 SQL 查询。例如，下面的代码片段展示了一个非常典型的 SQL 注入漏洞：
cmd.CommandText =string.Format("Select * from [Employees] Where Id={0}", Request["id"]);
cmd.Connection = con;
这段代码看似无害，试图从 HTTP 请求中获取一个 id 值，并将其插入到查询语句中。然而，这里存在一个致命的缺陷：Request["id"] 的值没有经过任何过滤和验证。
2.1 实战场景
攻击者可以利用这个漏洞，通过提交一个恶意构造的 URL 来发起攻击：
http://example.com/Index.aspx?id=1%20and%201=(select%20@@version)--
当这段恶意输入被 string.Format 处理后，最终的 SQL 查询语句会变成：
Select * from [Employees] Where Id=1 and 1=(select @@version)--
分解一下这段恶意代码的作用：1 and 1=(select @@version)：这是一个永远为 true 的条件。它将返回数据库的版本信息，从而让攻击者能够确认注入成功。--：在 SQL 中，这是单行注释的开始。它将原查询语句中 Id 参数后的所有内容（例如 or 1=1 等）都注释掉，确保语句能够顺利执行。
通过这种方式，攻击者无需知道任何内部信息，就可以利用这个未经验证的输入字段，绕过应用程序的验证和访问控制，执行任意的 SQL 查询。
2.2 防御注入
防范 SQL 注入，始于严谨、一致的实践。使用参数化查询是一些在 .NET 生产环境中被广泛推荐和实施的最有效安全措施：
这是防御 SQL 注入最有效、最根本的方法。参数化查询不直接将用户输入拼接到 SQL 字符串中，而是将它们作为参数传递给数据库引擎。数据库引擎会区分代码和数据，确保用户输入只能作为数据值，而无法作为可执行代码。
string sql ="Select * from [Employees] Where Id=@Id";
SqlCommand cmd =newSqlCommand(sql, con);
cmd.Parameters.AddWithValue("@Id", Request["id"]);
在这个例子中，@Id 是一个占位符，Request["id"] 的值被安全地绑定到这个参数上。无论用户输入什么，数据库引擎都会将其视为一个普通字符串，而不会将其作为 SQL 代码来解析。
即使使用了参数化查询，对用户输入进行验证和清理仍然是一个重要的安全层。还可以：白名单验证：定义允许哪些数据格式，而不是试图阻止所有不良输入。例如，如果 id 应该是一个整数，就只允许它包含数字。数据类型检查：确保用户输入的数据类型与数据库字段的数据类型匹配。
综上，安全开发是一个持续的过程。定期对代码进行安全审计，并对团队进行安全开发实践培训，可以确保每个人都意识到这些威胁，并从头开始构建弹性系统。
免责声明：此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。任何未经授权的网络渗透、入侵或对他人网络破坏的活动而造成的直接或间接后果和损失，均由使用者为自身的行为负责并承担全部的法律和连带责任，与本号及作者无关，请务必遵循相关法律法规。本文所提供的工具仅用于学习和本地安全研究和测试，禁止用于其他方面。
以上相关的知识点已收录于新书《.NET安全攻防指南》，全书共计25章，总计1010页，分为上下册，横跨.NET Web代码审计与红队渗透两大领域。
上册深入剖析.NET Web安全审计的核心技术，帮助读者掌握漏洞发现与修复的精髓；下册则聚焦于.NET逆向工程与攻防对抗的实战技巧，揭秘最新的对抗策略与技术方法。
专属福利
1. 学习模式: 代码审计知识星球在线录播视频 +后续漏洞挖掘直播、内部专属交流社区答疑解惑；
2. 优享福利：加入.NET代码审计星球后赠送永久dot.Net安全基础入门星球。
课程评价
欢迎对.NET代码审计关注和关心的同学加入我们 [dot.Net安全代码审计] ，目前已有近 100+ 位朋友抢先预定。
星球门票后期价格随着内容和质量的不断沉淀会适当提高，越早加入越划算！ 现在加入星球可享受星球早鸟价，并且可享受星球100元优惠券或送出一套团队新书《.NET安全攻防指南》签名版。
期待在这里能遇到有情有义的小伙伴，大家聚在一起做一件有意义的事，可扫描下方老师二维码了解更多详情。
