SQL‑инъекции — это один из очень распространённых способов взлома сайтов и веб‑приложений, работающих с реляционными базами данных.
Этот способ основан на внедрении в выполняемый приложением запрос к базе данных произвольного SQL‑кода, переданного злоумышленником. SQL‑инъекции являются одной из разновидностей атак типа «инъекция кода».
SQL‑инъекции, в зависимости от типа уязвимости, может дать возможность атакующему выполнить произвольный запрос к базе данных. То есть атакующий сможет прочитать содержимое любых таблиц, удалить, изменить или добавить данные, а также есть вероятность получения возможности работы с локальными файлами и выполнения произвольных команд на атакуемом сервере.
Последствия SQL‑инъекций:
- Кража данных
- Модификация данных
- Удаление данных
- Полный взлом системы
Атаки типа внедрения SQL становятся возможными из‑за некорректной обработки приложением входных данных. Разработчики сайтов и приложений, работающих с реляционными базами данных, должны знать о таких уязвимостях и принимать меры противодействия.
С точки зрения безопасности сайта или веб‑приложения, наиболее правильной является фильтрация всех полученных данных (приложение в принципе не должно принимать в обработку те параметры, которые непонятно зачем были переданы) и продуманная обработка тех параметров, которые используются для построения запроса к базе данных.
Для предотвращения SQL‑инъекций основными направлениями обработки входных данных должны являться:
- экранирование специальных символов в полученных строковых параметрах (универсальный способ)
- приведение полученных данных к ожидаемому приложением типу (отлично работает на булевом типе и на числах)
- нормализация и очистка полученных параметров регулярными выражениями (похоже на приведение к типу, но работает для более комплексных параметров)
- валидация полученных параметров по справочникам (часто перечень ожидаемых параметров известен и ограничен)
- усечение полученных параметров (длина инъекций, как правило, достаточно велика)
- использование параметризованных запросов (запрос передаётся отдельно от параметров, параметры в этом случае экранируются автоматически)
- правильное использование клиентских библиотек и возможностей ORM (библиотеки для работы с СУБД и ORM обычно хорошо документируют правильное с точки зрения безопасности их использование)
- фильтрация по ключевым словам и последующий бан атакующего (мера, позволяющая усложнить сканирование на уязвимости)