ASP.NETにおけるXSS、SQLインジェクション対策

Jittaさんの書き込み (2006-02-08 21:59) より:
　SQL injection に関しては、Web アプリケーションだから、という問題ではありません。Windows アプリケーションでも発生します。

甕星さんの書き込み (2006-02-08 22:35) より:

ASP.NETに限らず広く使える対策方法に、リバースプロキシやファイアウォールを使う方法もあります。プロキシーサーバーで全ての入力値のサニタイジングや、危険性の判断を行い、通信を遮断するわけです。もちろんチェックルールをしっかり検討しないと、攻撃を許してしまったり、あるいは正常な動作を阻害したり、パフォーマンスを大幅に低下させる可能性があります。その辺りを考慮の上で導入を検討してみると良いでしょう。

ただしセキュリティを意識して、WEBアプリケーションの再設計やコードレベルでの修正を行うのが王道ですよ。本来この手の製品は、コーディングレベルでの漏れやミスによる脆弱性を予防的に塞ぐための物で、セキュリティを考慮せずに作った欠陥だらけの代物を誤魔化すための物ではないと思いますし。

NAL-6295さんの書き込み (2006-02-09 01:29) より:
パラメタライズドクエリにしても下記の事に注意しなくてはいけません。
・like演算子を利用する時は、結局エスケープ処理をした上で、あいまいにしたいところに%や?を挿入する必要がある。じゃないと、入力値に%や?があった場合、その部分もあいまいになってしまう。
また、
・DataTable.Selectメソッドや、DataView.RowFilterはパラメタライズドには出来ないので、エスケープ処理が必要。
です。

NAL-6295さんの書き込み (2006-02-09 01:29) より:
・DataTable.Selectメソッドや、DataView.RowFilterはパラメタライズドには出来ないので、エスケープ処理が必要。

お獅子さんの書き込み (2006-02-09 10:11) より:

引用:
NAL-6295さんの書き込み (2006-02-09 01:29) より: パラメタライズドクエリにしても下記の事に注意しなくてはいけません。 ・like演算子を利用する時は、結局エスケープ処理をした上で、あいまいにしたいところに%や?を挿入する必要がある。じゃないと、入力値に%や?があった場合、その部分もあいまいになってしまう。 また、 ・DataTable.Selectメソッドや、DataView.RowFilterはパラメタライズドには出来ないので、エスケープ処理が必要。 です。

結局エスケープしないといけないのなら、パラメタライズドにしないで、エスケープすれば良い話なのだろうか？但しエスケープする文字は運用上使用禁止にする必要もあるが。
で、エスケープする文字は['][?][%][;]ぐらいで良いのでしょうか？

お獅子さんの書き込み (2006-02-09 10:16) より:

引用:
NAL-6295さんの書き込み (2006-02-09 01:29) より: ・DataTable.Selectメソッドや、DataView.RowFilterはパラメタライズドには出来ないので、エスケープ処理が必要。

パラメタライズドの知識があまり無く、実装しようと考えてましたが。データアダプタを使用した場合、パラメタライズドには出来ないと言う事なのでしょうか？