SQL-инъекция: разбор уязвимости на примере07.11.2023 14:15

b598f341ecb43381e7751251e36ba132.jpg

SQL-инъекция — это атака, которая может привести к компрометации конфиденциальных данных и даже полному захвату системы.

Разрабам и сисадминам важно знать об этой угрозе и принимать меры по ее предотвращению. Использование подготовленных инструкций с параметризованными запросами, проверка и очистка входных данных, а также регулярные аудиты безопасности могут значительно снизить риск успешной атаки.

— Вот пример кода, уязвимого для SQL-инъекций: 

 0) {
// login successful
} else {
// login failed
}
?>

В этом примере PHP-скрипт пытается аутентифицировать пользователя, сверяя имя пользователя и пароль с записями в таблице »‎users»‎.

  • Проблема с этим кодом заключается в том, что он напрямую включает пользовательский ввод ($username и $password) в SQL-запрос без его надлежащей проверки или очистки. Это означает, что в случае инъекции в поля имени пользователя и пароля, он может привести к выполнению непреднамеренных команд.

Например, можно ввести в поле username: admin' --, что привело бы к тому, что запрос стал бы: 

SELECT * FROM users WHERE username = ‘admin’ –‘ AND password = ‘whatever_password_entered’

Этот запрос закомментировал бы остальную часть запроса, минуя проверку пароля, следовательно, атака прошла бы успешно.

— Чтобы устранить эту уязвимость, вводимые пользователем данные должны быть проверены и обработаны, а для построения SQL-запроса следует использовать инструкции с параметризованными запросами, выглядеть это будет примерно так: 

$stmt = $connection->prepare("SELECT * FROM users WHERE username = ? AND password = ?”);
$stmt->bind_param("ss”, $username, $password);
$stmt->execute();b

Таким образом, он не будет выполнен как запрос и будет обрабатываться как строка, предотвращая атаки с использованием SQL-инъекций.

Основные CVE, связанные с этой уязвимостью:

  • CVE-2019–19781

  • CVE-2019–16759

  • CVE-2018–7600

  • CVE-2017–9805

  • CVE-2015–5352

    Инструменты для автоматического обнаружения и эксплуатации:

    sqlmap — автоматизирует процесс обнаружения и использования ошибок SQL-инъекций и захвата серверов баз данных.
    SQLNinja — специализируется на поиске уязвимостей SQL-инъекций в веб-приложениях, использующих Microsoft SQL Server.
    Havij — выявляет и использует уязвимости SQL-инъекций в целевом приложении и способен выполнять различные типы атак, включая Blind SQL-инъекцию и SQL-инъекцию на основе времени.
    sqldump — позволяет получить дамп содержимого базы данных или совокупности баз для создания резервной копии или пересылки данных на другой SQL-сервер.

    Заключение

    Используйте подготовленные инструкции с параметризованными запросами вместо построения SQL-запросов с конкатенацией строк. Проверяйте вводимые пользователем данные и при необходимости очистите их. Ограничьте права доступа до минимума, необходимого для правильной работы приложения.Регулярно проверяйте свою БД и журналы приложений на предмет необычных действий.Нк забывайте обновлять ПО и систему и используйте брандмауэр, чтобы блокировать известные атаки.

    Этичный Хакер в Telegram. В телеграм-канале вас будут ждать интересные материалы по OSINT, анонимности в сети, пентесту, а также обучающие курсы по инфобезу.

© Habrahabr.ru