5 tips til at forebygge SQL-injektionsangreb

SQL-injektionsangreb

Har du nogensinde hørt om udtrykket SQL-injektion? Har du nogensinde spekuleret på, hvordan du kan forhindre det? Det er spørgsmål, som mange webudviklere stiller sig selv. Alle kan være sårbare over for dette angreb. Men du behøver ikke at være en af dem. Med de rette forholdsregler kan du nemt forsvare din database mod uautoriseret adgang. Det er vigtigt at holde forbrugerne på dit websted sikre mod angreb som SQL Injection, så de kan foretage køb problemfrit.

Lad os gå over for at se, hvad SQL-injektionsangreb er, og 5 tips til at forebyggelse af sql-injektion.

Hvad er SQL-injektionsangreb?

SQL-injektion er et kodeinjektionsangreb, der bruges til at angribe datadrevne applikationer, hvor ondsindede SQL-angivelser indsættes i et indtastningsfelt med henblik på udførelse.

SQL-injektionsangreb er den mest almindelige type brud på databasens sikkerhed. SQL (Structured Query Language) er et programmeringssprog til at få adgang til og manipulere databaser. En webapplikation bruger en SQL-database til at lagre, hente og manipulere data.

Disse angreb kan forekomme, når ondsindede brugere sender kommandoer til en database ved at indtaste dem i indtastningsfelter på websteder eller webapplikationer. Formålet med angrebet er at ændre eller ødelægge de oplysninger, der er gemt i databasen, enten af ondsindede årsager eller blot for at se ting brænde. Angriberens mål er at få databasen til at opføre sig utilsigtet, så der kan hentes oplysninger fra den, som ikke var tiltænkt af dens skabere.

Uanset om du vælger MariaDB eller MySQLer ingen database helt immun over for de moderne hackeres utallige taktikker. Derfor er du nødt til at være proaktiv for at forhindre dem i at få succes. Innovative webudviklere er afgørende for at skabe robuste digitale forsvarsværker mod forskellige cybersikkerhedstrusler.

Toptips til forebyggelse af SQL-injektionsangreb

SQL-injektionsangreb kan forhindres ved at implementere følgende bedste praksis:

Nul tillid-tilgang

A nul-troværdighed er en tilgang til sikkerhed, hvor en organisation antager, at alle brugere, herunder administratorer, eksterne partnere og leverandører, er upålidelige og potentielle angribere. Organisationen skal anvende streng kontrol med adgang til og brug af oplysninger.

Dette omfatter fjernelse eller reduktion af afhængighed af eksterne forbindelser til databaser, applikationer eller tjenester.

Stored procedures er en måde at minimere risikoen for SQL-injektionsangreb på, da de er mere sikre end dynamiske SQL-forespørgsler. Men hvis der anvendes stored procedures såvel som dynamiske forespørgsler, skal man under testning være omhyggelig med at sikre, at der ikke findes sårbarheder i stored procedures.

Begrænse privilegier

Når du opretter nye konti, er det bedst kun at tildele det minimum af rettigheder, der er nødvendigt for, at kontoen kan fungere korrekt. Opret f.eks. to forskellige konti med forskellige rettigheder, hvis du har brug for en konto, der kan oprette rapporter, men ikke slette dem. Dette vil gøre det vanskeligere for hackere at få adgang til følsomme data eller overtage konti ved at udnytte eventuelle sårbarheder i din programkode eller konfigurationsfiler.

Brug lagrede procedurer

Gemte procedurer kan udføre flere SQL-kommandoer i en enkelt meddelelse. De hjælper med at forhindre SQL-injektionsangreb, fordi de ikke giver brugerne direkte adgang til databaseserveren via kodeindtastningsfelter som "brugernavn" eller "adgangskode". I stedet bruger de foruddefinerede funktioner, der kan kaldes fra applikationskoden ved hjælp af parametre, som brugeren (webapp-udvikleren) har sendt.

Her er hvordan du opretter en lagret procedure i MySQL. Du har f.eks. en tabel som denne:

CREATE TABEL 'løn' (
'empid' int(11) NOT NULL,
'sal' int(11) DEFAULT NULL,
PRIMARY KEY ('empid')
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

Hvis en angriber forsøger at indsætte skadelig kode i en sådan parameter, vil det på denne måde mislykkes, fordi der ikke er nogen forbindelse mellem appen og din databaseserver. Alt sker lokalt på din maskine!

Brug parametrerede forespørgsler

SQL-injektionsangreb opstår, fordi brugerens input anvendes i SQL-forespørgsler uden at være renset først. En måde at undgå dette på er at bruge parametrerede forespørgsler - dvs. forespørgsler, der bruger variabler i stedet for konstanter i forespørgselsstrengen. For eksempel:

VÆLG * FROM tabel WHERE kolonne =?

I stedet for:

VÆLG * FROM tabel WHERE kolonne = 'værdi'

Implementer sikkerhed i flere lag

SQL-injektioner forekommer, når skadelig kode indsættes i et programs SQL-angivelser. Den injicerede kode udføres derefter af webserveren, hvilket får den til at returnere data fra databasen, som udvikleren ikke havde til hensigt at returnere.

Du skal anvende flere lag af forsvar mod sådanne angreb for at forhindre, at det sker. Dette omfatter opsætning af firewalls og implementering af stærke godkendelsesmekanismer for alle dine brugere - f.eks. to-faktor-autentificering (2FA).

Typer af SQL-injektionsangreb

Der findes tre typer SQL-injektion:

Udesaneret input - Denne type SQL-injektion opstår, når et program ikke filtrerer eller sanitize sit input og bruger det direkte i en forespørgsel uden at udføre validering eller kodning. Dette kan føre til utilsigtede konsekvenser, f.eks. at der udføres uventede forespørgsler, kaldes funktioner, der burde være begrænset, ændres tabelindhold osv.

Out-of-Band-injektion - Denne type SQL-injektion opstår, når skadelige data sendes til et program via andre kanaler end dem, der er specificeret til interaktiv brugerinput (f.eks. e-mail). Dette kan omfatte ikke-tekstuelle kommunikationskanaler som f.eks. instant messaging eller filuploads.

Blind SQL-injektion - Denne type SQL-injektion opstår, når en angriber ikke kan se, hvad der foregår bag kulisserne, fordi målsystemet ikke returnerer nogen fejlmeddelelser, når der angives ugyldige værdier som input.

Test af SQL-injektion

SQL Injection Test er designet til at teste for SQL Injection-sårbarheder i webapplikationer. Den er især værdifuld for webudviklere.

Testen blev oprettet ved hjælp af OWASP Zed Attack Proxy (ZAP)).

SQL Injection Test er en gratis tjeneste fra OWASP Foundation, der hjælper dig med at evaluere din applikations sikkerhedssituation mod SQL-injektionsangreb. Testen fremhæver eventuelle SQL-injektionssårbarheder, der er fundet i din applikation, sammen med anbefalinger til at afhjælpe dem.

Sqlmap er et open source-værktøj til penetrationstest, der automatiserer detektering og udnyttelse af SQL-injektionsfejl og overtagelse af databaseservere. Det leveres med en kraftfuld detektionsmotor, mange nichefunktioner til den ultimative penetrationstester og en bred vifte af switches, der varer fra databasefingerprinting over datahentning fra DB'en til adgang til det underliggende filsystem og udførelse af kommandoer på operativsystemet via out-of-band-forbindelser.

Sidste ord

Manglende viden er den mest almindelige årsag til SQL-injektionsangreb. Det er meget vigtigt at forstå det grundlæggende i databaseforespørgsler og kommandoer. Og når du først har lært alle disse ting, er det lige så vigtigt at huske dem! 

Det er vigtigt at forstå, hvordan disse angreb opstår, og hvad der kan gøres ved dem, før du starter et program. Og hvis du allerede er i gang med at udvikle et websted, er det lige så nødvendigt, at du fra tid til anden reviderer din kode for at sikre dens sikkerhed. Lidt forebyggelse rækker langt, så vær opmærksom, når du koder, og så burde du være godt kørende.

sql-indsprøjtning

Nyeste indlæg af Ahona Rudra (se alle)
/af
Hvad er et sikret netværk?Hvad er et sikret netværkHvad er datamaskering, og hvornår kan du bruge det?Hvad er datamaskering, og hvornår kan du bruge det?