何謂資料隱碼(SQL injection)攻擊?程式設計師應如何預防?



這個問題是出自經濟部所屬事業機構 100年新進職員甄試試題,資訊管理、程式設計(pdf)的一題,這個問題ㄚ琪其實在設計PHP程式,搭配資料庫所設計的應用程式,都會面臨到這樣的難題,因為ㄚ琪本身對安全概念倒是沒有那麼的完整,所以有些程式為了求快,常會捨安全而不顧,不過如果你在開發一個重要的程式時,應該要謹慎這方面的問題,好了,我們先從中文維基的解釋來看吧。

SQL攻擊,中國大陸稱作SQL注入攻击,台灣稱作SQL资料隐码攻击),簡稱隱碼攻擊,是發生於應用程式之資料庫層的安全漏洞。簡而言之,是在輸入的字串之中夾帶SQL指令,在設計不良的程式當中忽略了檢查,那麼這些夾帶進去的指令就會被資料庫伺服器誤認為是正常的SQL指令而執行,因此遭到破壞。

有部份人認為SQL隱碼攻擊是只針對Microsoft SQL Server而來,但只要是支援批次處理SQL指令的資料庫伺服器,都有可能受到此種手法的攻擊。

原因

在應用程式中若有下列狀況,則可能應用程式正暴露在SQL Injection的高風險情況下:

  1. 在應用程式中使用字串聯結方式組合SQL指令。
  2. 在應用程式連結資料庫時使用權限過大的帳戶(例如很多開發人員都喜歡用sa(內建的最高權限的系統管理員帳戶)連接Microsoft SQL Server資料庫)。
  3. 在資料庫中開放了不必要但權力過大的功能(例如在Microsoft SQL Server資料庫中的xp_cmdshell延伸預存程式或是OLE Automation預存程式等)
  4. 太過於信任使用者所輸入的資料,未限制輸入的字元數,以及未對使用者輸入的資料做潛在指令的檢查。

作用原理

  1. SQL命令可查詢、插入、更新、刪除等,命令的串接。而以分號字元為不同命令的區別。(原本的作用是用於SubQuery或作為查詢、插入、更新、刪除……等的條件式)
  2. SQL命令對於傳入的字串參數是用單引號字元所包起來。〈但連續2個單引號字元,在SQL資料庫中,則視為字串中的一個單引號字元〉
  3. SQL命令中,可以夾帶註解〈連續2個減號字元——後的文字為註解,或「/*」與「*/」所包起來的文字為註解〉
  4. 因此,如果在組合SQL的命令字串時,未針對單引號字元作取代處理的話,將導致該字元變數在填入命令字串時,被惡意竄改原本的SQL語法的作用。

例子

某個網站的登入驗證的SQL查詢代碼為

strSQL = "SELECT * FROM users WHERE (name = '" + userName + "') and (pw = '"+ passWord +"');"

惡意填入

userName = "' OR '1'='1";

passWord = "' OR '1'='1";

時,將導致原本的SQL字串被填為

strSQL = "SELECT * FROM users WHERE (name = '' OR '1'='1') and (pw = '' OR '1'='1');"

也就是實際上執行的SQL命令會變成下面這樣的

strSQL = "SELECT * FROM users;"

因此達到無帳號密碼,亦可登入網站。所以SQL隱碼攻擊被俗稱為駭客的填空遊戲。

可能造成的傷害

  1. 資料表中的資料外洩,例如個人機密資料,帳戶資料,密碼等。
  2. 資料結構被駭客探知,得以做進一步攻擊(例如SELECT * FROM sys.tables)。
  3. 資料庫伺服器被攻擊,系統管理員帳戶被竄改(例如ALTER LOGIN sa WITH PASSWORD=’xxxxxx’)。
  4. 取得系統較高權限後,有可能得以在網頁加入惡意連結以及XSS。
  5. 經由資料庫伺服器提供的作業系統支援,讓駭客得以修改或控制作業系統(例如xp_cmdshell “net stop iisadmin”可停止伺服器的IIS服務)。
  6. 破壞硬碟資料,癱瘓全系統(例如xp_cmdshell “FORMAT C:”)。

避免的方法

  1. 在設計應用程式時,完全使用參數化查詢()來設計資料存取功能。
  2. 在組合SQL字串時,先針對所傳入的參數作字元取代(將單引號字元取代為連續2個單引號字元)。
  3. 如果使用PHP開發網頁程式的話,亦可開啟PHP的魔術引號(Magic quote)功能(自動將所有的網頁傳入參數,將單引號字元取代為連續2個單引號字元)。
  4. 其他,使用其他更安全的方式連接SQL資料庫。例如已修正過SQL資料隱碼問題的資料庫連接元件,例如ASP.NET的SqlDataSource物件或是 LINQ to SQL。
  5. 使用SQL防資料隱碼系統。

但是在英文的維基中,有幾個章節中文維基中沒有,像是Forms and validity,ㄚ琪也不太懂在這裡的意思,但是從內容來看比較像是資料隱碼的分類說明,我們另闢一篇文章來說明。

這裡頭有提到原因、作用原理、可能造成的傷害以及避免的方法。但是ㄚ琪覺得對一個新手程式設計師而言,有一個協助自動檢查程式的機制或許會更好,不然誰會知道自己寫的程式沒問題,自我感覺良好的人,一定覺得沒問題吧,呵呵,就像我這樣。

查到PHP+MySQL环境下SQL Injection攻防总结,似乎是ㄚ琪開始注意寫PHP程式時,要注意SQL injection了,共勉之,另外這個部落格也有MySQL的最佳化,很可以看喔。

Print Friendly, PDF & Email

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *

這個網站採用 Akismet 服務減少垃圾留言。進一步瞭解 Akismet 如何處理網站訪客的留言資料