Знайомство з SQL Injection та як з ним боротися на бекенді

Фото: Rubaitul Azad на Unsplash

SQL Injection — це один з найбільш поширених і небезпечних типів атак на безпеку додатків, особливо для веб-застосунків. Ця атака дозволяє зловмиснику отримувати доступ, змінювати або навіть видаляти дані з бази даних шляхом вставки шкідливих SQL команд у запит, який виконується бекендом додатку.

Що таке SQL Injection?

SQL Injection — це техніка експлуатації, при якій зловмисник вставляє SQL код у невірно валідований ввід користувача, таким чином отримуючи небезпечний запит. Атака часто використовує уразливості у формах введення, URL або інших параметрах, що надсилаються на сервер.

Приклад запиту, вразливого до SQL Injection:

SELECT * FROM users WHERE username = 'admin' AND password = '' OR '1' = '1';

У наведеному прикладі змінений запит може дати незаконний доступ до даних у таблиці "users".

Наслідки SQL Injection

1. Компрометація даних: Зловмисник може викрасти або маніпулювати чутливими даними.
2. Втрати цілісності бази даних: Дані можуть бути змінені або видалені без дозволу.
3. Неавторизований доступ: Зловмисник може отримати адміністративний доступ.
4. Вимкнення системи: Пошкодження бази даних може спричинити зупинку роботи додатку.

Як виникає SQL Injection?

1. Не валідовані введення: Параметри від користувачів без перевірки додаються до SQL запиту.
2. Відсутність параметризації: Використання конкатенації рядків для створення SQL запитів.
3. Уразливі конфігурації: Небезпечні налаштування бази даних чи сервера.

Як захиститися від SQL Injection

1. Використовуйте параметризовані запити або підготовлені вирази
   Переконайтесь, що запити не будуються динамічно шляхом об'єднання введення користувача.
   Приклад використання підготовленого запиту в Node.js з бібліотекою mysql2:

const query = 'SELECT * FROM users WHERE username = ? AND password = ?';  
connection.execute(query, [username, password]);

2. Валідація та санітизація введення
Проводьте валідацію всіх введених користувачем даних, щоб бути впевненими, що приймаються лише очікувані дані.

3. Використання ORM (Object-Relational Mapping)
Фреймворки, такі як Sequelize або Prisma, автоматично захищають від SQL Injection за допомогою абстракційного шару.

4. Уникайте використання конкатенації рядків
Ніколи не будуйте SQL запити шляхом об'єднання рядків з введення користувача.

5. Обмежте доступ до бази даних
Використовуйте принцип "найменших привілеїв" для обмеження доступу до бази даних лише для необхідних операцій.

6. Моніторинг та логування
Впровадьте логування для виявлення підозрілої активності, яка може свідчити про спроби атаки.

Приклад безпечного та небезпечного введення

Небезпечне введення:

const query = `SELECT * FROM users WHERE username = '${username}' AND password = '${password}'`;

Безпечне введення:

const query = 'SELECT * FROM users WHERE username = ? AND password = ?';  
connection.execute(query, [username, password]);

Висновок

SQL Injection — серйозна загроза безпеці додатків, однак її можна запобігти вживаючи правильних заходів. Розуміння причин виникнення та методів захисту дозволяє розробникам створювати більш безпечні додатки і захищати дані користувачів від експлуатації. Завжди ставте безпеку на перше місце на кожному етапі розробки бекенду.

Перекладено з: Mengenal dan Mengatasi SQL Injection di Backend