Hvað er SQL Injection?

Einn stærsti flokkur veikleika á vefnum er þekktur sem „SQL Injection“ eða SQLi. Structured Query Language, aka SQL, er tungumálið sem notað er til að hafa samskipti við meirihluta gagnagrunna, þó að fjöldi afbrigða af tungumálinu sé notaður eftir gagnagrunnsvettvangi. Sérhver vefsíða sem geymir notendagögn, svo sem reikningsupplýsingar, eða býður upp á notendaupphleðsluvirkni, eins og myndhýsingarvefsíðu mun nota gagnagrunn til að geyma þessi gögn.

Ábending: SQL er almennt annað hvort borið fram „ess cue ell“ eða „framhald“ þar sem fyrsti kosturinn er algengari á breskri ensku og sá síðari algengari á amerískri ensku. Báðir framburðir eru almennt skildir í samhengi við að tala um gagnagrunna.

Hvað er SQLi?

SQLi er veikleiki þar sem vefhönnuðir sem hanna kóðann sem hefur samskipti á milli vefþjónsins og gagnagrunnsins innleiða ekki vörn gegn SQL skipunum sem notandi sendir inn. Vandamálið er að það er hægt að geta sloppið út úr gagnagrunnsyfirlýsingum og bætt við nýjum rökum eða alveg nýrri fullyrðingu. Hin breytta eða önnur gagnagrunnsyfirlýsing getur framkvæmt margvíslegar aðgerðir, þar á meðal hugsanlega stórfelldar eyðingar eða gagnaleka.

Notkun snýst venjulega um að láta núverandi staðhæfingar vera sannar undir öllum kringumstæðum eða útvega aðra hópskipun sem framkvæmir ákveðna aðgerð eins og að eyða eða birta öll gögn. Til dæmis gæti SQL setning til að skrá þig inn á vefsíðu athugað hvort innsent notendanafn og lykilorð passi við færslu í gagnagrunninum. Til að reyna að fá aðgang að SQL innspýtingarmisnotkun gæti reynt að bæta við „eða satt“ ákvæði eins og „eða 1=1“. Þetta myndi gera skipunina í samræmi við "skrá þig inn með [þessu] notandanafni, ef lykilorðið er [þetta], eða þessi fullyrðing er sönn".

Hvernig á að koma í veg fyrir SQLi

SQLi var áður mjög algeng leið fyrir vefsíður til að hafa brotið gagnagrunn sinn og síðan lekið á netinu. Vegna samstillts átaks til að tryggja að öryggisvitund sé hluti af þjálfun þróunaraðila, hefur þessi flokkur varnarleysis að mestu verið leystur og sést aðeins sjaldan lengur.

Rétta aðferðin til að koma í veg fyrir SQLi er að nota tilbúnar staðhæfingar, einnig þekktar sem færibreyttar fyrirspurnir. Hefð er fyrir því að SQL staðhæfingum sé lýst yfir og notandainntakið er sameinað inn í þær meðan á þeirri yfirlýsingu stendur. Með tilbúnum yfirlýsingum er gagnagrunnsskipunin skrifuð út og síðan keyrir sperate aðgerð skipunina og setur notendagögn inn. Þó að þetta kann að virðast eins og lítill munur breytir það algjörlega hvernig skipunin er meðhöndluð. Munurinn kemur í veg fyrir að marktækar SQL skipanir séu keyrðar og meðhöndlar öll inntak notenda sem streng, sem kemur í veg fyrir að SQL innspýting eigi sér stað.