我的 ASP.NET 网站受到SQL注入攻击

问：

黑客访问了我的数据库用户列表和其他表。

首先，我在所有事务中使用参数化命令

command.Parameters.Add("@Parameter1", SqlDbType.NVarChar).Value

所有事务都是存储过程。

我正在将每个站点导航插入数据库。具体数据库表如下;

ID int (PK)
UserID int (null)
URL nvarchar(500)
IPAddress nvarchar(25)
CreatedAt datetime

项目从代码中获取信息，无论会话是否打开。UserID

CreatedAt是。DateTime.UtcNow

IPAddress代码如下：

public static string GetIPAddress(HttpContext context)
{
    string ipAddress = context.Request.ServerVariables["HTTP_X_FORWARDED_FOR"];

    if (!string.IsNullOrEmpty(ipAddress))
    {
        string[] addresses = ipAddress.Split(',');
        if (addresses.Length != 0)
            return addresses[0];
    }

    return context.Request.ServerVariables["HTTP_CLIENT_IP"] ?? context.Request.ServerVariables["REMOTE_ADDR"];
}

但是，使用所有查询字符串从网站当前 URL 填充。(URLRequest.RawUrl)

通常，当用户访问该站点时，日志会插入到数据库中，如上所述。以下记录正常插入。示例数据如下所示：

ID      UserID    URL                        IPAddress      CreatedAt
1        NULL     /User                      1.22.33.444    2019-12-12 16:22:33.441
2        NULL     /User/MyOrders             1.22.33.444    2019-12-12 16:24:33.441
3        NULL     /User?utm_source=email     1.22.33.444    2019-12-12 16:29:33.441

黑客以某种方式将一条记录插入数据库，如下所示：

ID      UserID    URL                        IPAddress                     CreatedAt
4        NULL     /User                      (select(0)from(select(sle     2019-12-12 17:22:33.441
5        NULL     /User/MyOrders             -1; waitfor delay '0:0:9'     2019-12-12 17:24:33.441
6        NULL     /User?utm_source=email     prvNA0R6'; waitfor delay      2019-12-12 17:29:33.441
7        NULL     /User?utm_source=email     -1' OR 2+198-198-1=0+0+0+     2019-12-12 17:29:33.441

如您所见，列是 SQL 查询攻击。 字段长度限制为 25 个字符。以下 SQL 查询文本被 SQL 截断。IPAddressIPAddress

在我看来，黑客通过使用 SQL 注入通过更改 or 作为 SQL 脚本来获取数据库记录。URLIPAddress

知道黑客如何进入我的数据库以及如何从现在开始避免攻击吗？

编辑

存储过程如下：

create procedure SP_InsertLogNavigation
    @URL nvarchar(150),
    @UserID int,
    @IPAddress nvarchar(25),
    @CreatedAt datetime
as
    insert into LogNavigation (URL, UserID, IPAddress, CreatedAt)
    values (@URL, @UserID, @IPAddress, @CreatedAt)

存储过程的用法如下：

public bool Save(LogNavigation logNavigation)
{
    int affectedRows = 0;

    InitializeSqlFields("SP_InsertLogNavigation");

    command.Parameters.Add("@URL", SqlDbType.NVarChar).Value = logNavigation.URL;
    command.Parameters.Add("@UserID", SqlDbType.Int).Value = Validation.IsNull(logNavigation.UserID);
    command.Parameters.Add("@IPAddress", SqlDbType.NVarChar).Value = logNavigation.IPAddress;
    command.Parameters.Add("@CreatedAt", SqlDbType.DateTime).Value = logNavigation.CreatedAt;

    try
    {
        Connect();

        affectedRows = command.ExecuteNonQuery();
    }
    catch (SqlException)
    {
    }
    finally
    {
        Disconnect();
    }

    return affectedRows != 0;
}