Node の 3 つの一般的なセキュリティ側面の簡単な分析-jsチュートリアル-php.cn

Node の 3 つの一般的なセキュリティ側面の簡単な分析

青灯夜游

リリース： 2023-02-13 19:27:41

転載

2259 人が閲覧しました

この記事では、Node における 3 つの一般的なセキュリティ予防策について説明します。主に、Node サーバーを開発する際の 3 つのセキュリティ側面について説明します。

Node の 3 つの一般的なセキュリティ側面の簡単な分析

#1. 防止方法

1. SQL インジェクション

これは最も原始的で単純な攻撃です。Web2.0以降に出現した人間とコンピュータの相互作用による攻撃手法です。

主にSQLフラグメントを入力することによって行われます。攻撃 SQL コード

ノードを使用してデータベースに接続する場合、通常はノード側で次のようなデータベースにクエリを実行する

sql ステートメントを記述します

-- 这是一个简易的登录判断sql语句， 输入 username 和 password 在 users 表中进行用户登录验证,  然后获取用户的地址和年龄
select address, age from users where username=${username} and password=${password}

ログイン後にコピー

しかし、私が

ユーザー名 で何かをして、彼が SQL ステートメントを渡すようにすると、非常に危険になります [関連チュートリアルの推奨事項: nodejs ビデオチュートリアル , プログラミング教育]

-- username 输入为 ali -- 
-- 上面这段 sql 就会被解析成这样 
select address, age from users where username=ali -- and password=${password}

ログイン後にコピー

上記のコードスニペットを見ると、

-- は SQL のコメントであることがわかります。そのため、SQL クエリでユーザー入力を動的に取得すると、ユーザー名フィールドが -- で終わる場合、次のパスワードの条件付き検証は削除されます。

つまり、ユーザー名フィールドが存在する限り、ユーザーが入力したパスワード

に関係なく、データベース対応する情報を取得します#もちろん、攻撃者は SQL ステートメントを結合し続けて後でデータベースを削除することもできますが、これは実際にはより危険です

-- username 输入为 ali; delete from users where username="ali" --
-- 就会拼接成下面这种语句 这是极其危险的
select address, age from users where username=ali; delete from users where username="ali" -- and password=${password}

ログイン後にコピー

解決策