用IBM Appsan扫描自己得web系统，扫描出sql盲入漏洞和跨站点请求伪造漏洞，不知道如何解决

[anyuesuifeng]

1 sql盲注（Blind SQL Injection）
描述： SQL 盲注：通过使用撇号并注释掉查询的余下部分，附加布尔 True/False 字符串表达式

差异：以下更改已应用到原始请求：
已将参数“projectId”的值设置为“05aebf56-5bfb-4bcb-b9f1-586760dc8818'%20and%20'f'='f'%20--”

推理：
此测试会将条件选项附加到参数值后面，以验证其是否嵌入到后端的 SQL 查询中。已发送三（或四）个测试请求：最后一个在逻辑上等同于原始请求，并且倒数第二个请求是不同的（其他请求用于控制用途）。最后两个测试响应与原始测试响应的比较可确认附加的值确实已添加到了 SQL 查询中。


2 跨站点请求伪造(Cross-site Request Forgery)
描述： 将可能干扰 CSRF 攻击的 HTTP 头除去，并使用伪造的 URL 设置 Referer 头

差异：
以下更改已应用到原始请求：
已将 HTTP 头设置为“http://bogus.referer.ibm.com”

推理：
在不同的会话中两次发送同一请求并且收到相同的响应。这显示没有任何参数是动态的（会话标识仅在 cookie 中发送），因此应用程序易受到此问题攻击。

还请各位大牛指点~谢谢~

[anyuesuifeng]

第一个问题：我的程序实际上没有用sql字符串拼接，用的是EF框架，按说是以参数化的方式来执行的
第二个问题：我的提交页面非常得多，我总不能每次提交都需要有验证码，而且这个系统是个MIS系统，有供领导审批的页面，总不能每次都需要录入验证码吧，有没有个统一的解决方案啊，我现在卡在这里了~

[ltcszk]

第一个就是sql注入，简单点说就是数据库把前台输入的数据当成，sql语句来执行了
sql不要用字符串拼接，改用存储过程或param复制

第二个就是说你提交页面没有验证码之类东西，比如匿名留言，没有验证码的话，别人可以写一个自动提交程序反复发送相同的内容，把你数据库撑满
你也可以通过在程序里比较几次提交时间来防止

[beggar_mail]

不是验证码的问题，是需要将数据参数化，保存到数据库,一般有两种方法，一种是在URL后面带参数据，模拟1=1，你上面写的那一串就是通过URLCODE编码后的内容，你转码回来就是一串SQL的WHERE条件，返回TRUE/FALSE
另一种情况是在文本录入框里面，模拟录入SQL注入，和上面的方法一样，参数化就解决了

[beggar_mail]

第一个参数化就解决,以上的问题出现有两种可能，一种是有URL参数里面，一种是在文本录入框里面，APPSCAN会模拟提交SQL提交，如：1=1等，projectId那一串就是URLENCODE后的内容。
第二个是能在HTTP头中嵌入JAVASCRIPT 脚本，能获取到服务器的或客户端的COOKIE信息。解决办法：对请求的URL中的字符始终编码，不允许有特殊字符