فيديو يتكلم عن SQL Injection

جرب نفس لاشياء مع stored procedure

سوف لا تنجح باذن الله

اول خطء لا يتخدم stored procedure

الثاني لا يخبر علي ادخال كلمة السر

MS_SQL كتب:

اخواني في هذي الايام قمت بقراءة جزء الsecurity في asp.net ولاحظت كلمة SQL Injection فقمت البحث عنها في الانترنت فوجدت مصييييبة بالفعل بسبب الرمز Single quotes الفيديو التالي فيه شرح الموضوع بالكامل

---------------------

اخي العزيز .. اذا اردت ان تتجنب SQL Injection استخدم البراميتر في ادخل القيم .. بدل من استخدام Single quotes سوف اعطيك مثال بسيط مجرب وجربة انت بنفسك

 Try
            sql = " select id from users where name=@name and pass =@pass"
            cm = New SqlCommand(sql, con)
            Dim idUser As Integer
            con.Open()
            cm.Parameters.AddWithValue("@name", TextBox1.Text)
            cm.Parameters.AddWithValue("@pass", TextBox2.Text)
            idUser = System.Convert.ToInt32(cm.ExecuteScalar())
            con.Close()
            If idUser = 0 Then
                MsgBox("الرجاء التاكد من كلمة المرور واسم المستخدم ")
            Else
                Response.Redirect("Default2.aspx")

            End If
        Catch ex As Exception

        End Try

طبعاُ هذه طريقة استخدام البرميتر وهي طريقة ناجحة لتجنب SQL Injection

الطريقة الثانية فيها ثغرة SQL Injection وهي كتالي

 Try
            sql = " select id from users where name='" & TextBox1.Text & "' and pass ='" & TextBox2.Text & "'"
            cm = New SqlCommand(sql, con)
            Dim idUser As Integer
            con.Open()

            idUser = System.Convert.ToInt32(cm.ExecuteScalar())
            con.Close()
            If idUser = 0 Then
                MsgBox("الرجاء التاكد من كلمة المرور واسم المستخدم ")
            Else
                Response.Redirect("Default2.aspx")

            End If
        Catch ex As Exception

        End Try

جرببها بنفسك وسوف ترى الفرق بين الطرقيتن والله الموفق

مشكورين اخواني على التعليق في الموضوع .....اجابتكم مفيده جدا لي