QUOTENAME voor onbekende kolomnamen in SQL

Geschreven door: op zondag 31 maart 2019

Leestijd: 2 minuten

Als je gebruik maakt van een database, dan ben je bekend met SQL Injection: een kwaadwillend persoon geeft variabelen door aan je website, die ervoor zorgen dat een query die je variabelen verwerkt, functioneel verandert.

Je zou bijvoorbeeld een waarde willen opvragen, zoals een titel van een pagina op basis van een paginaId:

SELECT * FROM paginas WHERE paginaId = 1;

Bovenstaande query kan je op verschillende manieren opbouwen. Als je deze opbouwt zonder gebruik te maken van speciale functies in je applicatielaag, zou je iets kunnen krijgen als (pseudocode):

//www.mijnwebsite.nederland/?paginaId=1

Var sql = “SELECT * FROM paginas WHERE paginaId = ” + paginaId;

ExecuteSql(sql);

Ik ga ervan uit dat pagina Id hier een nummer is, maar het zou ook het volgende kunnen zijn:

//www.mijnwebsite.nederland/?paginaId=1; DROP TABLE paginas;

Var sql = “SELECT * FROM paginas WHERE paginaId = ” + paginaId;

ExecuteSql(sql);

In dit geval ben ik al mijn pagina’s kwijt en dat alleen maar omdat ik zo onvoorzichtig was om er niet voor te zorgen dat alleen veilige waardes toegelaten worden.

Hier zijn een aantal oplossingen voor:

Maak gebruik van je applicatielaag. Als je je queries opbouwt via de applicatie, zoals .NET, dan worden de variabelen, de parameters, automatisch in zo’n formaat gezet dat er geen sprake kan zijn van SQL injection.

Gebruik verschillende users. Je kan voor eenvoudige SELCT-queries een user gebruiken die alleen rechten heeft voor SELECT. (Dit zal vrijwel nooit voorkomen.) Hiermee voorkom je geen SQL-injection, maar wel dat er data wordt weggeschreven of aangepast.

In SQL maak je soms gebruik van dynamische queries. Met de procedure sp_executesql zorg je ervoor dat je alleen correcte parameters door kan geven.

Bij dynamische queries kan je ook gebruik maken van QUOTENAME. Dit is met name handig als je gebruik wilt maken van kolommen die niet hard in je statements staan:

SET sql = ‘SELECT * FROM paginas WHERE ‘ + QUOTENAME(@kolom) + ‘= @paginaId’;

QUOTENAME gecombineerd met sp_executesql zorgt ervoor dat je veiliger dynamische queries kunt gebruiken, met kolomnamen die niet van te voren bekend zijn.

 


Andere blogartikelen

  • Overeenkomsten tussen Growth Hacking en UX design

    Geschreven door: op zondag 13 september 2020

    Laten we beginnen met wat Growth hacking is, Growth hacking zijn experimenten voor oplossingen die groeiproblemen moeten oplossen. Dit is een nieuwe marketing aanpak die met name wordt gedreven door d ...

    Bekijk het artikel »
  • B2B SEO en Geoptimaliseerde Afbeeldingen

    Geschreven door: op woensdag 12 augustus 2020

    In een tijd waarin 27% van het koopproces van B2B kopers met eigen online research wordt doorgebracht is het essentieel om een goed vindbare website te hebben. Afbeeldingen kunnen, indien geoptimalise ...

    Bekijk het artikel »
  • Prospects zoeken B2B

    Geschreven door: op woensdag 12 augustus 2020

    Het zoeken van B2B prospects is een uitdaging voor elk bedrijf. Met name kwalitatieve B2B prospects.Door vooraf onderzoek te doen naar bedrijven die voldoen aan je criteria en je marketing hierop aan ...

    Bekijk het artikel »
Bel 072 5345 888
Meer dan 40 bedrijven vertrouwen op ons
Allrig is de alles in een leverancier binnen de energie-industrie
AOC is een toonaangevend wereldwijd bedrijf actief in de verkoop van kwaliteitsharsen
ERIKS is een toonaangevende en innovatieve leverancier aan de procesindustrie en aan machinebouwers, die zowel de rol van specialist als die van brede MRO-leverancier vervult
Industrieel dienstverlener Heinen & Hopman Engineering uit Bunschoten is dé wereldwijde specialist op het gebied van klimaatbeheersing
Handicare is een internationale organisatie die ouderen helpt om hun dagelijks leven gemakkelijker te maken door het produceren van hoogwaardige trapliften
Onze Middelen en Technologieën
microsoft silver partner
Adobe partner
fd-gazellen-2018.jpg
Google analytics
partners-logo.jpg
Op de hoogte blijven?

Meld u aan voor de gratis nieuwsbrief om op de hoogte te blijven van onze activiteiten