QUOTENAME voor onbekende kolomnamen in SQL header image

QUOTENAME voor onbekende kolomnamen in SQL

zondag 31 maart 2019 ·Leestijd: 2 minuten
contacteer auteur:

Als je gebruik maakt van een database, dan ben je bekend met SQL Injection: een kwaadwillend persoon geeft variabelen door aan je website, die ervoor zorgen dat een query die je variabelen verwerkt, functioneel verandert.

Je zou bijvoorbeeld een waarde willen opvragen, zoals een titel van een pagina op basis van een paginaId:

SELECT * FROM paginas WHERE paginaId = 1;

Bovenstaande query kan je op verschillende manieren opbouwen. Als je deze opbouwt zonder gebruik te maken van speciale functies in je applicatielaag, zou je iets kunnen krijgen als (pseudocode):

//www.mijnwebsite.nederland/?paginaId=1

Var sql = “SELECT * FROM paginas WHERE paginaId = ” + paginaId;

ExecuteSql(sql);

Ik ga ervan uit dat pagina Id hier een nummer is, maar het zou ook het volgende kunnen zijn:

//www.mijnwebsite.nederland/?paginaId=1; DROP TABLE paginas;

Var sql = “SELECT * FROM paginas WHERE paginaId = ” + paginaId;

ExecuteSql(sql);

In dit geval ben ik al mijn pagina’s kwijt en dat alleen maar omdat ik zo onvoorzichtig was om er niet voor te zorgen dat alleen veilige waardes toegelaten worden.

Hier zijn een aantal oplossingen voor:

Maak gebruik van je applicatielaag. Als je je queries opbouwt via de applicatie, zoals .NET, dan worden de variabelen, de parameters, automatisch in zo’n formaat gezet dat er geen sprake kan zijn van SQL injection.

Gebruik verschillende users. Je kan voor eenvoudige SELCT-queries een user gebruiken die alleen rechten heeft voor SELECT. (Dit zal vrijwel nooit voorkomen.) Hiermee voorkom je geen SQL-injection, maar wel dat er data wordt weggeschreven of aangepast.

In SQL maak je soms gebruik van dynamische queries. Met de procedure sp_executesql zorg je ervoor dat je alleen correcte parameters door kan geven.

Bij dynamische queries kan je ook gebruik maken van QUOTENAME. Dit is met name handig als je gebruik wilt maken van kolommen die niet hard in je statements staan:

SET sql = ‘SELECT * FROM paginas WHERE ‘ + QUOTENAME(@kolom) + ‘= @paginaId’;

QUOTENAME gecombineerd met sp_executesql zorgt ervoor dat je veiliger dynamische queries kunt gebruiken, met kolomnamen die niet van te voren bekend zijn.

 


Andere blogartikelen

B2B E-commerce
 Wakker worden!
Geschreven door
op dinsdag 28 juni 2022
Veel B2B-bedrijven in blijven hangen in; nauwelijks vindbare, verouderde B2B e-commerce websites met minimale conversiemogelijkheden en een betreurenswaardige gebruikerservaring. Zonde!
B2B Leadgeneratie: Alles wat je altijd al wilde weten!
Geschreven door
op maandag 27 juni 2022
B2B online leadgeneratie is het proces van het identificeren van de ideale klanten voor uw product of dienst, en hen vervolgens overhalen tot aankoop. Het is een essentiële activiteit voor B2B sales- en marketingteams.
Wat maakt een B2B webshop succesvol?
Geschreven door
op zondag 26 juni 2022
De opmars van de B2B webshop neemt toe. Regelmatig krijgen wij de vraag of er een groot verschil is tussen een consumentgerichte webshop en een puur B2B gedreven webshop. In deze blog leggen wij u uit hoe een B2B webshop succesvol kan zijn en worden.
Open Nieuwsbrief Inschrijving Footer

E-book

Zo wordt uw website een lead generator 
In 3 stappen uw website van visitekaartje naar salesfunnel

Download het E-book â€ș