代码审计 | .NET SqlSugar框架注入漏洞

本文[.NET ORM框架注入漏洞]内容部分节选自小报童《.NET 代码审计》，完整的文章内容请加入小报童后订阅查看。现在限时只需129元，永久买断！目前已有近20+位朋友抢先预定，我们会长期更新，对.NET内网安全的朋友们请尽快订阅该报刊！

SqlSugar 是一款针对国内.NET环境的开源ORM框架，支持多库架构，兼容众多数据库系统，包括MySql、SqlServer、PostgreSQL、Oracle、Sqlite、Firebird、ClickHouse、QuestDB、达梦、南大通用GBase、神通、人大金仓、虚谷、翰高、华为GaussDB以及MsAccess等，同时允许用户自定义适配其他数据库。

以下是一个以GetList方法为例的示例代码，展示了攻击者如何向MappingColumn方法注入SQL

public IActionResult GetData(string name)
{
    var list = _db.Queryable<UserInfo>()
                  .Where(it => it.NickName.Contains(SqlFunc.MappingColumn<string>(name)))
    return Ok(list);
}

这段代码是一个ASP.NET Core控制器中的方法，用于从数据库中获取与给定名称匹配的用户信息，并将其作为响应返回。其中_db是一个数据库上下文对象，用于与数据库进行交互。在这里，它应该是通过依赖注入获得的数据库上下文实例。

SqlFunc.MappingColumn<string>(name)是一个映射函数，用于将传入的name参数映射为SQL查询中的列，而SqlSugar的SqlFunc.MappingColumn方法具有在查询中禁用参数化查询的功能。若开发者在使用此方法时从外部传入参数，则会产生SQL注入的风险。当我们提交包含注入的负载时，便会返回当前数据库版本号，如图所示。

想要了解更多内网权限维持的文章，可以移步订阅小报童《.NET 代码审计》电子报刊。

本次电子报刊《.NET代码审计》专栏，内容主要介绍.NET代码审计时需要注意的漏洞函数，具体可细分为以下3个方向。

1） 介绍.NET审计思路之配置项引发的漏洞
2） 触发.NET SQL注入漏洞敏感函数
3） 触发.NET 目录和文件操作漏洞函数。

原价999元，现在限时只需129元，永久买断！目前已有近20+位朋友抢先预定，我们会长期更新，初步计划保持每周更新1-2篇新内容，对.NET代码审计感兴趣的安全的朋友们请尽快订阅该报刊！

每增加五十人涨价20元，抓紧订阅！订阅后，请关注微信公众号：dotNet安全矩阵，发送订单截图，邀请您加入专属交流群。感兴趣的朋友，可以点击链接：https://xiaobot.net/p/dotNetMatrix，或者扫描下方海报微信二维码加入即可，订阅后小报童定时会将最新内容通过微信推送给您。