SOSL Injection

使用来自不可信来源的数据执行 SOSL 查询可能会允许访问未经授权的数据。

Salesforce 对象搜索语言 (SOSL) 是 Salesforce 平台搜索语言，用于在记录中执行文本搜索。使用 SOSL 可跨 Salesforce 中的多个标准和自定义对象记录搜索字段。

Salesforce 对象搜索语言 (SOSL) injection 错误在以下情况下出现：

1. 数据从一个不可信赖的数据源进入程序。


2. 在未进行任何预处理或清除的情况下，数据用于动态构造 SOSL 查询。
示例 1：以下代码动态地构造并执行了一个 SOSL 查询，该查询搜索具有指定名称的联系人。

...
public String inputValue {
  get { return inputValue; }
  set { inputValue = value; }
}
...
String queryString = 'Name LIKE \'%' + inputValue + '%\'';
String searchString = 'Acme';
String searchQuery = 'FIND :searchString IN ALL FIELDS RETURNING Contact (Id WHERE ' + queryString + ')';
List<List<SObject>> results = Search.query(searchQuery);
...

此代码可按以下方式执行查询：

String searchQuery = 'FIND :searchString IN ALL FIELDS RETURNING Contact (Id WHERE Name LIKE '%' + inputValue + '%')';

但是，由于这个查询是动态构造的，由一个不变的基查询字符串和一个用户输入字符串连接而成，因此只有在 inputValue 不包含单引号字符时，才会正确执行这一查询。如果攻击者为 inputValue 输入字符串 1%' OR Name LIKE '，则该查询会变成：

String searchQuery = 'FIND :searchString IN ALL FIELDS RETURNING Contact (Id WHERE Name LIKE '%1%' OR Name LIKE '%%')';

附加条件 OR Name like '%%' 会使 where 子句使用 LIKE '%%' 条件，这将强制该查询输出所有包含“map”短语的记录，因为它在逻辑上将等同于一个更为简化的查询：

FIND 'map*' IN ALL FIELDS RETURNING Contact (Id WHERE Name LIKE '%%')

与大多数数据库接口不同，在 force.com 平台中，SOSL 不支持以分号分隔的多个 SOSL 语句，这意味着，无法像常规 SQL injection 攻击那样在一个查询中连接多个命令。另请注意，Apex 数据库不支持注释，因此每个单引号、括号或其他特殊字符都必须成对使用。