Memitigasi Serangan Injeksi SQL Terfragmentasi: Solusi Efektif

Posting blog ini memecah injeksi SQL terfragmentasi, metode peretas yang digunakan untuk memotong otentikasi dengan memanipulasi dua bidang input yang berbeda secara bersamaan. Pakar keamanan kami menjelaskan mengapa kutipan tunggal penting dalam serangan injeksi SQL dan bagaimana menggunakan pernyataan yang disiapkan (juga disebut kueri parameterisasi) dapat secara efektif mencegah jenis eksploitasi ini.

Jika Anda bertanya kepada seseorang cara memeriksa kerentanan injeksi SQL dalam aplikasi web, saran pertama mereka mungkin untuk memasukkan satu kutipan (‘) ke dalam bidang input. Jika aplikasi merespons dengan kesalahan, itu dapat menunjukkan bahwa input mengganggu kueri basis data – tanda klasik injeksi SQL. Bahkan, beberapa orang bahkan menyebut injeksi SQL sebagai “injeksi kutipan tunggal” karena seberapa sering metode ini digunakan untuk menguji kerentanan.

Namun, penyerang tidak terbatas pada suntikan kutipan tunggal sederhana. Penelitian kami mengeksplorasi injeksi SQL yang terfragmentasi, teknik yang lebih maju di mana peretas memanipulasi dua bidang input terpisah dalam konteks kueri yang sama untuk mem -bypass sistem otentikasi. Memahami bagaimana kutipan tunggal mempengaruhi kueri basis data sangat penting untuk mengenali dan mencegah jenis serangan ini. Mari kita lihat lebih dekat.

Peran kutipan tunggal dalam serangan injeksi SQL

Dalam banyak sistem – seperti penafsir perintah, sistem file, dan basis data – karakter pasti memiliki makna khusus. Karakter -karakter ini, yang dikenal sebagai MetaCharacters, dapat mengubah cara memproses perintah sistem. Di SQL, lajang (‘) dan ganda (“) Kutipan bertindak sebagai pembatas string, menandai awal dan akhir dari input berbasis teks.

Karena itu, menyuntikkan kutipan tunggal atau ganda yang tidak terapas ke dalam kueri database dapat memecahkan struktur kueri, sering mengakibatkan kesalahan sintaksis. Pertimbangkan pernyataan SQL berikut:

SELECT * FROM users WHERE username="USER_INPUT'

Jika penyerang memasukkan satu kutipan (‘) Sebagai input, kueri database dapat menjadi cacat, yang menyebabkan kesalahan:

$username = "'";

$query = "SELECT * FROM users WHERE username="".$username."""

Resulting SQL Query

SELECT * FROM users WHERE username=""''

Di sini, database tidak dapat memproses kueri karena kutipan tunggal tambahan yang tidak tertandingi mengganggu sintaks yang diharapkan. Jenis kesalahan ini adalah indikator kunci bahwa input pengguna tidak disaring atau disanitasi dengan benar, membuat sistem berpotensi rentan terhadap serangan injeksi SQL.

Saat kutipan tunggal tidak diperlukan untuk injeksi SQL

Sementara kueri SQL berbasis string dipengaruhi oleh injeksi kutipan, tidak semua kueri database bergantung pada input string. Pertimbangkan skenario di mana aplikasi menanyakan database menggunakan pengidentifikasi berbasis integer:

$query = "SELECT * FROM users WHERE id=" . $user_input;

Dalam hal ini, kutipan tunggal atau ganda tidak perlu. Sebaliknya, seorang penyerang perlu menyuntikkan a nilai numerik Itu memodifikasi pernyataan SQL untuk menjalankan perintah yang tidak diinginkan.

Daftar hitam atau melarikan diri dari kutipan tunggal

Untuk bertahan melawan upaya injeksi SQL sederhana, beberapa sistem melarikan diri atau daftar hitam, mencegah mereka melanggar kueri. Namun, metode ini tidak mudah.

Misalnya, jika seorang peretas mencoba menyuntikkan muatan berikut:

$username = "' or 1=1 --";

$password = "qwerty123456";

$query = "SELECT * FROM users WHERE username="".$username."" AND password='".$password."'";

Kueri SQL yang dihasilkan adalah:

SELECT * FROM users WHERE username="\" or 1=1 -- ' or password='qwerty123456';

Karena kutipan tunggal (‘) melarikan diri dengan backslash (\), upaya injeksi gagal, karena kueri tidak lagi mengeksekusi logika jahat yang dimaksudkan.

Sementara melarikan diri dari kutipan tunggal dapat mengurangi risiko serangan injeksi SQL dasar, itu bukan solusi yang lengkap. Cara paling efektif untuk mencegah injeksi SQL adalah dengan menggunakan pernyataan yang disiapkan (kueri parameterisasi), yang terpisah input pengguna dari perintah SQL sepenuhnya, memastikan bahwa nilai yang disuntikkan tidak dapat mengubah logika yang dimaksudkan dari kueri.

Memahami injeksi SQL yang terfragmentasi

Injeksi SQL yang terfragmentasi adalah teknik serangan di mana beberapa bidang input dimanipulasi bersama untuk memotong otentikasi atau kontrol keamanan lainnya. Meskipun awalnya tidak dinamai oleh penemu, metode ini memungkinkan penyerang untuk membagi muatan berbahaya mereka di berbagai bidang input untuk menghindari mekanisme deteksi seperti daftar hitam dan batas karakter.

Bagaimana SQL Injection Works Works

Dalam serangan injeksi SQL yang khas, seorang peretas mungkin memasukkan satu kutipan (‘) untuk memecahkan struktur kueri. Namun, beberapa sistem secara otomatis keluar dari karakter khusus menggunakan backslash (\), mencegah injeksi langsung. Injeksi SQL yang terfragmentasi berkeliling dengan ini dengan membagi muatan antara dua bidang input yang diproses dalam konteks kueri SQL yang sama.

Pertimbangkan upaya otentikasi berikut:

Bidang Input:

Username: \

Password: or 1 #

Kueri yang dihasilkan:

SELECT * FROM users WHERE username="\" and password=' or 1 # ';

Mengapa ini berhasil

• Backslash (\) dimasukkan di lapangan nama pengguna lolos dari kutipan tunggal berikutnya (‘), menetralkannya.

• Bidang Kata Sandi kemudian berisi muatan: atau 1 #yang memodifikasi logika pernyataan SQL.

• Sejak atau 1 selalu benar, kueri berhasil mengotentikasi penyerang tanpa memerlukan kata sandi yang valid.

• Itu # (Hash) Karakter bertindak sebagai penanda komentar, memberi tahu database untuk mengabaikan sisa kueri, secara efektif melewati pemeriksaan otentikasi yang tersisa.

Dampaknya

Dengan memanfaatkan teknik ini, penyerang dapat melewati formulir login dan mekanisme otentikasi, berpotensi mendapatkan akses yang tidak sah ke akun pengguna atau kontrol administratif. Validasi input tradisional dan daftar hitam mungkin gagal mendeteksi serangan ini karena setiap bidang input saja tampak tidak berbahaya – tetapi ketika diproses bersama, mereka membentuk muatan injeksi SQL lengkap.

Mencegah injeksi SQL yang terfragmentasi

Untuk melindungi terhadap teknik ini, aplikasi harus menerapkan pertahanan injeksi SQL yang kuat, termasuk:

• Pernyataan yang disiapkan (kueri parameterisasi) – Ini memastikan input pengguna diperlakukan sebagai data, bukan perintah SQL.
• Validasi input yang ketat – Laranglah keluar karakter dan tegaskan kendala panjang input.
• Melarikan diri dan Pengkodean – Pastikan input pengguna tidak dapat merusak logika kueri.
• Membatasi Pesan Kesalahan – Hindari Mengungkap Struktur Kueri Melalui Respons Kesalahan.

Keterbatasan fungsi penyaringan dalam pencegahan injeksi SQL

Posting blog yang direferensikan menyarankan menggunakan fungsi htmlentities () PHP untuk memfilter input pengguna sebagai cara untuk mencegah serangan injeksi SQL. Saat dikonfigurasi dengan bendera ENT_QUOTES, fungsi ini mengonversi karakter khusus – seperti kutipan tunggal (‘), kutipan ganda (“), dan tag html – ke dalam entitas HTML yang sesuai. Misalnya, kutipan ganda akan dikodekan sebagai:

&mengutip;

Meskipun metode ini dapat mengurangi risiko injeksi dalam beberapa kasus, ini bukan solusi yang sangat mudah. Serangan injeksi SQL masih dapat dieksekusi tanpa menggunakan kutipan tunggal atau ganda, membuat pendekatan ini tidak cukup sebagai mekanisme pertahanan utama. Selain itu, trik penyandian warisan seperti pengkodean GBK kadang -kadang dapat memotong fungsi keamanan seperti addSlashes () dalam PHP, lebih lanjut melemahkan jenis penyaringan input ini.

Mengapa pernyataan yang disiapkan adalah pertahanan terbaik terhadap injeksi SQL

Cara paling efektif dan andal untuk mencegah serangan injeksi SQL adalah dengan menggunakan pernyataan yang disiapkan, juga dikenal sebagai kueri parameter.

Mengapa pernyataan yang disiapkan berfungsi:

• Mereka memisahkan struktur kueri SQL dari input pengguna, memastikan bahwa data pengguna diperlakukan secara ketat sebagai nilai, bukan sebagai bagian dari perintah SQL.
• Tidak seperti pendekatan berbasis penyaringan, mereka resisten untuk mengembangkan teknik injeksi SQL.
• Mereka menghilangkan kebutuhan untuk melarikan diri secara manual, membuat kode lebih aman dan kurang rentan terhadap kesalahan.

Banyak teknik penyaringan input, termasuk htmlentities (), dapat menawarkan perlindungan parsial, tetapi penyerang terus menemukan cara untuk memotongnya. Mengandalkan metode ini saja membuat aplikasi rentan terhadap teknik serangan baru, menjadikan pernyataan yang disiapkan sebagai satu -satunya pendekatan yang dapat diandalkan secara konsisten untuk mencegah injeksi SQL.

Menerapkan kueri parameter dalam php dan .net

Menggunakan kueri parameter adalah cara paling efektif untuk melindungi aplikasi dari serangan injeksi SQL. Di bawah ini adalah contoh cara mengimplementasikan pendekatan ini dalam PHP dan .NET untuk memastikan kueri basis data yang aman.

Kueri parameter dalam php

Dalam php, the mempersiapkan() Metode digunakan untuk mendefinisikan pernyataan SQL dengan placeholder, dan Bindparam () memberikan nilai dengan aman:

$stmt = $dbh->prepare("UPDATE users SET email=:new_email WHERE id=:user_id");

$stmt->bindParam(':new_email', $email);

$stmt->bindParam(':user_id', $id);

Kueri parameterisasi di .net

Untuk aplikasi .net, kueri parameter diimplementasikan menggunakan SQLCommand kelas. Alih -alih memasukkan input pengguna mentah ke dalam pernyataan SQL, parameter secara eksplisit didefinisikan dan ditetapkan nilai:

string sql = "SELECT * FROM Customers WHERE CustomerId = @CustomerId";

SqlCommand command = new SqlCommand(sql);

command.Parameters.Add(new SqlParameter("@CustomerId", System.Data.SqlDbType.Int));

command.Parameters("@CustomerId").Value = 1;

Mengapa pernyataan yang disiapkan sangat penting

Banyak pengembang masih mengandalkan penyaringan berbasis blacklist untuk memblokir upaya injeksi SQL, baik secara manual atau melalui fungsi seperti addSlashes (). Namun, penyerang terus mengembangkan teknik baru untuk memotong pertahanan ini, membuat pendekatan berbasis blacklist tidak dapat diandalkan.

Satu -satunya cara yang efektif secara konsisten untuk mencegah kerentanan injeksi SQL adalah dengan menggunakan pernyataan yang disiapkan (kueri parameterisasi). Metode ini memastikan bahwa input pengguna selalu diperlakukan sebagai data daripada bagian dari perintah SQL, secara efektif menetralkan upaya injeksi pada tingkat database.