Cara Mengesan dan Mempertahankan Terhadap Serangan Suntikan SQL (Sebahagian yang Mesti Dibaca]

Pengarang: Trix Cyrus

Alat Pentesting Peta Jalan: Klik Di Sini
TrixSec Github: Klik Di Sini
TrixSec Telegram: Klik Di Sini

---

Suntikan SQL ialah salah satu kelemahan yang paling biasa dan berbahaya dalam aplikasi web. Ia berlaku apabila penyerang dapat memanipulasi pertanyaan SQL yang dilaksanakan oleh aplikasi, membenarkan mereka mengakses atau mengubah suai data dengan cara yang tidak dibenarkan. Dalam artikel ini, kami akan membincangkan cara untuk mengesan dan mempertahankan daripada serangan suntikan SQL.

---

Apakah itu SQL Injection?

SQL injection (SQLi) ialah sejenis serangan di mana penyerang memasukkan atau "menyuntik" kod SQL berniat jahat ke dalam pertanyaan, yang kemudiannya dilaksanakan oleh pelayan pangkalan data. Kerentanan ini timbul daripada pengesahan input yang lemah, di mana input pengguna dimasukkan secara langsung dalam pertanyaan SQL tanpa sanitasi yang betul.

Contohnya:

SELECT * FROM users WHERE username = 'admin' AND password = 'password123';

Jika penyerang boleh menyuntik SQL mereka sendiri ke dalam pertanyaan seperti ini:

' OR 1=1; --

Pertanyaan yang terhasil mungkin menjadi:

SELECT * FROM users WHERE username = '' OR 1=1; --' AND password = '';

Ini akan menyebabkan pangkalan data mengembalikan semua pengguna, memintas pengesahan sepenuhnya.

---

Cara Mengesan Serangan Suntikan SQL

1. Gunakan Alat Automatik untuk Pengesanan

Banyak alat keselamatan boleh mengimbas aplikasi anda untuk mencari kelemahan suntikan SQL. Beberapa alatan yang popular ialah:

• SQLmap: Alat yang berkuasa untuk mengautomasikan pengesanan dan eksploitasi kelemahan suntikan SQL.
• Peta Jalan: Alat yang berkuasa untuk mengautomasikan pengesanan kelemahan suntikan SQL Dan 75 Lagi Kerentanan Web Lain.
• OWASP ZAP: Pengimbas keselamatan aplikasi web yang merangkumi pelbagai ujian suntikan SQL aktif dan pasif.
• Burp Suite: Alat ujian penembusan yang menyediakan fungsi pengimbasan suntikan SQL.

2. Ujian Manual

• Cuba masukkan muatan suntikan SQL biasa ke dalam medan input pengguna. Contohnya:

  • ' ATAU 1=1 --
  • ' ATAU 'a' = 'a
  • ' DAN 'x'='x

• Periksa mesej ralat: Banyak mesej ralat pangkalan data boleh mendedahkan butiran tentang pangkalan data asas dan struktur pertanyaan. Contohnya:

  • MySQL: Anda mempunyai ralat dalam sintaks SQL anda...
  • PostgreSQL: RALAT: sintaks input tidak sah untuk jenis integer

3. Gunakan Teknik Suntikan Berasaskan Ralat dan Buta

• Suntikan Berasaskan Ralat: Dengan sengaja menyebabkan ralat, penyerang boleh mengumpulkan maklumat berguna daripada mesej ralat.
• Blind SQL Injection: Dalam kes di mana mesej ralat dilumpuhkan, penyerang boleh bertanya soalan benar/salah yang mendedahkan maklumat berdasarkan respons aplikasi.

---

Cara Bertahan Terhadap Serangan Suntikan SQL

1. Gunakan Penyata Disediakan (Pertanyaan Berparameter)

Pertahanan paling berkesan terhadap suntikan SQL ialah menggunakan pernyataan yang disediakan dengan pertanyaan berparameter. Ini memastikan input pengguna dianggap sebagai data, bukan kod boleh laku.

Contoh dalam Python dengan MySQL (menggunakan perpustakaan MySQLdb):

SELECT * FROM users WHERE username = 'admin' AND password = 'password123';

Dalam contoh ini, %s ialah pemegang tempat untuk input pengguna dan MySQL secara automatik melepaskan aksara khas, menjadikannya mustahil untuk penyerang menyuntik SQL yang berniat jahat.

2. Gunakan Rangka Kerja ORM (Pemetaan Objek-Kaitan)

Banyak rangka kerja pembangunan web (cth., Django, Flask) menawarkan lapisan ORM untuk berinteraksi dengan pangkalan data. ORM menjana pertanyaan SQL yang selamat dan menghalang suntikan SQL dengan melepaskan input pengguna secara automatik.

Contohnya, menggunakan ORM Django:

' OR 1=1; --

Pertanyaan ini selamat daripada suntikan SQL kerana ORM Django mengendalikan pembersihan input.

3. Sahkan dan Bersihkan Input

• Input Senarai Putih: Hanya benarkan input yang dijangkakan, terutamanya dalam medan seperti nama pengguna dan kata laluan. Contohnya, hanya benarkan aksara abjad angka dalam nama pengguna.
• Escape Input: Jika anda mesti membina pertanyaan SQL secara dinamik (yang tidak disyorkan), pastikan anda melarikan diri aksara khas menggunakan fungsi melarikan diri yang sesuai.
• Gunakan Ungkapan Biasa: Pastikan input pengguna sepadan dengan corak yang dijangkakan sebelum memprosesnya.

4. Guna Tembok Api Aplikasi Web (WAF)

WAF boleh menyekat percubaan suntikan SQL berniat jahat dalam masa nyata dengan memeriksa permintaan HTTP masuk dan menapis muatan berniat jahat. Beberapa WAF yang popular ialah:

• ModSecurity: WAF sumber terbuka untuk Apache, Nginx dan IIS.
• Cloudflare: Menyediakan WAF yang mudah digunakan dengan perlindungan terhadap suntikan SQL dan serangan lain.

5. Gunakan Keistimewaan Paling Rendah untuk Akaun Pangkalan Data

Pastikan akaun pangkalan data yang digunakan oleh aplikasi mempunyai keistimewaan yang paling sedikit. Contohnya:

• Pengguna pangkalan data aplikasi tidak sepatutnya mempunyai kebenaran untuk memadam atau mengubah jadual.
• Gunakan akaun yang berbeza untuk operasi baca sahaja dan tulis.

6. Ralat Mengendalikan dan Mengelog

• Jangan dedahkan ralat pangkalan data: Konfigurasikan aplikasi anda untuk mengendalikan ralat pangkalan data dengan anggun tanpa mendedahkan maklumat sensitif. Contohnya, elakkan daripada menunjukkan mesej ralat terperinci kepada pengguna akhir.
• Dayakan pengelogan: Log aktiviti yang mencurigakan dan percubaan untuk mengeksploitasi kelemahan suntikan SQL untuk analisis kemudian.

---

Senarai Semak Pencegahan Suntikan SQL

1. Sentiasa gunakan penyataan yang disediakan dengan pertanyaan berparameter.
2. Gunakan rangka kerja ORM untuk berinteraksi dengan pangkalan data.
3. Sanitasi dan sahkan input pengguna (senarai putih, regex, dll.).
4. Laksanakan Tembok Api Aplikasi Web (WAF).
5. Ikuti prinsip keistimewaan paling rendah untuk akaun pangkalan data.
6. Elakkan pelaksanaan SQL terus dalam kod anda di mana mungkin.
7. Gunakan mekanisme pengendalian ralat untuk mengelak daripada mendedahkan maklumat pangkalan data yang sensitif.
8. Menjalankan ujian keselamatan tetap untuk mengenal pasti kelemahan.

---

Kesimpulan

Suntikan SQL kekal sebagai salah satu ancaman keselamatan yang paling berleluasa hari ini, tetapi dengan menggunakan langkah pertahanan yang betul, seperti kenyataan yang disediakan, pengesahan input dan penggunaan rangka kerja ORM, anda boleh mengurangkan dengan ketara risiko serangan suntikan SQL pada permohonan anda. Selain itu, kerap menguji aplikasi anda untuk kelemahan SQL dan menggunakan amalan terbaik akan membantu melindungi sistem anda dan melindungi data pengguna yang sensitif.

Dengan kekal proaktif dan sedar, anda boleh menghalang akibat buruk daripada serangan suntikan SQL dan memastikan keselamatan aplikasi anda.

~Trixsec

Atas ialah kandungan terperinci Cara Mengesan dan Mempertahankan Terhadap Serangan Suntikan SQL (Sebahagian yang Mesti Dibaca]. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!