将DML / DDL嵌入为子查询？

Question

在我的团队正在开发的应用程序中，所有用户都可以定义基于SQL的筛选器，即返回ID的SQL选择语句。 用户输入的该语句然后作为子选择子句嵌入到insert ... select ..语句中。

我对此感觉很不好，并且我认为这是一个严重的安全问题，因为用户可能会找到一种执行危险的任意SQL命令（如delete from... 。

限制或删除此功能肯定会违反客户的意愿。 因此，我想有一个证明问题的概念证明。

因此，我的问题是：
是否可以执行某些非常危险的语句来使用subselect子句修改数据或修改模式？

Answer 1

不，那不可能。 但是，也许他们可以输入两个语句， 两个语句彼此执行。 如果第一部分是无害的选择，他们可以结束它（使用分号），并添加另一个有害的声明。 这是否完全有效取决于语句执行的方式，但请确保针对这种情况进行测试。

更妙的是，使一个无权执行dml语句甚至ddl语句的用户，除非插入该表中。 让功能通过该用户帐户连接。 这样，除了充斥表之外，他们永远不可能写出执行有害操作的语句。

使用资源管理器，您甚至可以确保该用户不会对数据库造成很高的负载。

Answer 2

是否可以执行某些非常危险的语句来使用subselect子句修改数据或修改模式？

简短的回答：是的！

例如： http ： //xkcd.com/327/

请阅读这些文章，并将它们介绍给您的“客户”。 向他们表明，这样做将使该系统更容易受到攻击，并且可以被利用。

https://asktom.oracle.com/pls/apex/f?p=100:11:0::::P11_QUESTION_ID:23863706595353

https://asktom.oracle.com/pls/apex/f?p=100:11:0::::P11_QUESTION_ID:31670728929866

http://www.securiteam.com/securityreviews/5DP0N1P76E.html

http://tkyte.blogspot.fi/2012/02/all-about-security-sql-injection.html