SQL Server

Tools per combattere le SQL Injections

Dario Santarelli — Thu, 26 Jun 2008 14:30:45 GMT

Dato che siamo in periodo di attacchi SQL Injection di massa (esempio1 , esempio2), riporto questo bel post di Joe Stagner che parte dal recente advisory di Microsoft sugli ultimi attacchi rilevati nel Web ("Rise in SQL Injection Attacks Exploiting Unverified User Data Input") per classificare alcuni tools dedicati alla difesa in base alla figura professionale (Web Developers vs IT Administrators).
I tools citati nel post sono:

MSCASI - Microsoft Source Code Analyzer for SQL Injection (identifica le vulnerabilità di pagine ASP tramite "static code analysis")
Scrawlr (identifica le vulnerabilità tramite il crawling del sito)
UrlScan v3.0 Beta (blocca le richieste HTTP prima che vengano processate da IIS)

Come al solito.... prevenire è meglio che curare :)

Technorati tags: SQL Injection, SQL

[SQL Server 2005] Rigenerare il transaction log file nella creazione di un DB

Dario Santarelli — Wed, 23 Apr 2008 18:23:39 GMT

Questa me la segno qui sul mio blog giusto per appunto personale.
Una delle opzioni del comando CREATE DATABASE di SQL Server 2005 è FOR ATTACH_REBUILD_LOG, che si applica a database r/w per ricreare un transaction log file (.ldf) qualora non si avessero a disposizione gli originari.

USE [master]
GO
CREATE DATABASE [Test] ON
(FILENAME = N'C:\...\<dbName>.mdf')
FOR ATTACH_REBUILD_LOG
GO

Giusto per approfondire un po' la questione, l'opzione FOR ATTACH_REBUILD_LOG può essere utile quando si copia un DB con un log molto grande in un altro server dove magari la copia viene utilizzata quasi sempre (o sempre) per operazioni di lettura, richiedendo quindi un minore spazio di log rispetto al database originale.

Technorati tags: SqlServer

SQL Server Data Services (SSDS)

Dario Santarelli — Thu, 27 Mar 2008 18:34:46 GMT

Ho appena finito di leggere un po' di documentazione sui SQL Server Data Services (che al primo impatto mi sono sembrati essere del tutto simili a Amazon S3 - "Amazon Simple Storage Service"). Mi sembra un'iniziativa molto interessante, soprattutto pensando ad applicazioni 'collaborative' che condividono la stessa sorgente dati sul web, applicazioni mashup nonché a tutte quelle applicazioni che richiedono un modello di storage e query molto semplice e flessibile, basato su un minimo set di security e manageability.
Personalmente sarei curioso di vedere in azione le API per lo sviluppo Web che forniranno il supporto built-in allo standard SOAP e a REST...che dire di più...un'altro investimento di Microsoft verso il business basato sui servizi on-demand, un mercato da tenere sotto stretta osservazione ;).

Technorati tags: SQL Server, SSDS

LEN e DATALENGTH su stringhe

Dario Santarelli — Tue, 16 Oct 2007 19:24:31 GMT

Tutto nasce dalla necessità di ottenere la lunghezza di una variabile stringa che includa gli spazi bianchi alla fine. In T-SQL esiste la celeberrima funzione LEN che restituisce appunto il numero di caratteri di una stringa escludendo però gli spazi bianchi alla fine. La funzione DATALENGTH restituisce invece il numero di bytes usati per rappresentare l'espressione passata come argomento. Tramite il seguente esempio ci rendiamo conto di come in realtà occorra dare grande attenzione al tipo di codifica che si intende utilizzare per la rappresentazione delle variabili stringa:

DECLARE @MyVAR nvarchar(4)
SET @MyVAR = 'abc '

-- UNICODE character data. (nvarchar)
SELECT LEN(@MyVAR) -- restituisce 3
SELECT DATALENGTH(@MyVAR) -- restituisce 8
SELECT DATALENGTH(@MyVAR)/2 -- restituisce 4

-- NON-UNICODE character data. (varchar)
SELECT LEN('abc ') -- restituisce 3
SELECT DATALENGTH('abc ') -- restituisce 4
SELECT DATALENGTH('abc ')/2 -- restituisce 2

Osserviamo come, di default, una stringa passata per valore venga in realtà parserizzata come un varchar e quindi come NON-Unicode (a meno dell'utilizzo del prefisso 'N' per stringhe costanti).... Banale ma non troppo direi!!!

Technorati tags: SQLServer, T-SQL

SSIS: "product level is insufficient..." nell'esecuzione di un package

Dario Santarelli — Mon, 01 Oct 2007 18:44:59 GMT

Se ottenete un errore del tipo "product level is insufficient ..." oppure "The task ... cannot run on this edition of Integration Services. It requires a higher level edition." nell'esecuzione di un package dtsx può dipendere da due fattori:

avete installato soltanto le Workstation Components di SQL Server
il package utilizza dei componenti che richiedono una versione superiore di SQL Server (e.g. il componente "Data Conversion" necessita della versione Enterprise)

In soldoni, per risolvere il problema o si installano i SSIS nella macchina in cui viene fatto eseguire il package oppure si sposta l'esecuzione stessa del package su una macchina in cui è installata la versione full dei SSIS.
Per maggiori informazioni vi rimando a questo post di Michael Entin.

P.S.: Ecco cosa accade a chi come me sperava di cavarsela con il Toolkit di Microsoft SQL Server 2005 Express Edition ;)

Technorati tags: SQLServer, SSIS

SSIS: Impostare una Custom Property di un Data Flow Component

Dario Santarelli — Fri, 27 Jul 2007 01:01:00 GMT

Oggi mi sono imbattuto nella necessità di impostare la Custom Property OpenRowset di un Data Flow Component (un OLE DB Source per la precisione) all'interno di un Data Flow Task. Combinando Google, MSDN, intuito e designer di Visual Studio :), sono riuscito nel mio intento tramite il seguente codice:

using Microsoft.SqlServer.Dts.Runtime;
using Microsoft.SqlServer.Dts.Pipeline.Wrapper; // Classi e interfacce per creare Data Flow Components ed automatizzare Data Flow Tasks

...

TaskHost MyTaskHost = (TaskHost)package.Executables[0]; // Attenzione all'ordinale ;)

// MainPipe: wrapper per configurare un Data Flow Task programmaticamente
MainPipe dataFlowTask = MyTaskHost.InnerObject as MainPipe;

// Ciascun componente del Data Flow Task è rappresentato da un ComponentMetadata
IDTSComponentMetaData90 MyComponentMetadata = dataFlowTask.ComponentMetaDataCollection["MyComponentName"];

// Accesso alla Custom Property "OpenRowset"
IDTSCustomProperty90 CustomProperty = MyComponentMetadata.CustomPropertyCollection["OpenRowset"];
CustomProperty.Value = "MyValue";

...