{"id":25488,"date":"2022-02-21T00:00:00","date_gmt":"2024-09-13T08:48:52","guid":{"rendered":"https:\/\/wordpress-583806-4798031.cloudwaysapps.com\/sql-injektion-ar-det-ett-lost-problem\/"},"modified":"2024-11-15T16:21:22","modified_gmt":"2024-11-15T15:21:22","slug":"sql-injektion-ar-det-ett-lost-problem","status":"publish","type":"post","link":"https:\/\/informator.se\/en\/sql-injektion-ar-det-ett-lost-problem\/","title":{"rendered":"SQL-injektion: \u00e4r problemet l\u00f6st?"},"content":{"rendered":"
\n

SQL-injektion s\u00e5v\u00e4l som dess skyddstekniker har inte f\u00f6r\u00e4ndrats mycket under de senaste 20 \u00e5ren. \u00c4r det fortfarande relevant?
Konceptet med SQL-injektion \u00e4r v\u00e4lk\u00e4nt. Det finns en popul\u00e4r XKCD-serie om det, som i sin tur inspirerade en dedikerad Bobby Tables-webbplats. Folk har till och med sk\u00e4mtsamt gjort f\u00f6retagsnamn och registreringsskyltar med exploateringsstr\u00e4ngar. En s\u00e5dan niv\u00e5 av medvetenhet och erk\u00e4nnande betyder s\u00e4kert att s\u00e5rbarheten inte l\u00e4ngre \u00e4r relevant, eller hur?<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n


Fr\u00e5n MSSQL piggybacking till f\u00f6rsta plats<\/strong><\/p>\n\n\n\n

SQL-injektion n\u00e4mndes f\u00f6r f\u00f6rsta g\u00e5ngen (som “uppbackande SQL-kommandon”) 1998 i Phrack hacker magazine. Liksom andra injektionss\u00e5rbarheter, aktiveras SQL-injektion genom att programmeraren g\u00f6r ett fundamentalt misstag \u2013 i det h\u00e4r fallet blandar hen ihop karakt\u00e4ren av data och kod. N\u00e4rmare best\u00e4mt infogas indata fr\u00e5n anv\u00e4ndaren (data) i en SQL-fr\u00e5ga (kod) \u2013 om anv\u00e4ndaren \u00e4r skadlig kan de tillhandah\u00e5lla noggrant strukturerad input som \u00e4ndrar koden som exekveras. I fallet med SQL kan detta betyda n\u00e5got s\u00e5 enkelt som att returnera alla poster ist\u00e4llet f\u00f6r att anv\u00e4nda ett filter, men det kan ocks\u00e5 potentiellt \u00e4ndra, infoga eller till och med ta bort element fr\u00e5n n\u00e5gon annanstans i databasen. I v\u00e4rsta fall kan det till och med leda till fj\u00e4rrk\u00f6rning av kod p\u00e5 servern. SQL-injektion var s\u00e5 utbredd att det snabbt blev en representant f\u00f6r injektionss\u00e5rbarheter. Som helhet kom ‘Injection’ in i OWASP Top Ten 2004 som nummer 6, kl\u00e4ttrade till #1 2007 och har h\u00e5llit fast vid den positionen sedan dess.<\/p>\n\n\n\n

Ett spel med ‘katt’ och &apos;r\u00e5tta%40%230039%3B<\/strong><\/p>\n\n\n\n

Som med m\u00e5nga andra s\u00e5rbarheter utvecklades SQL-injektionsattacktekniker och f\u00f6rsvars\u00e5tg\u00e4rder st\u00e4ndigt parallellt med varandra i ett katt-och-r\u00e5tta-spel.

Den ursprungliga begr\u00e4nsningen i Phrack-artikeln f\u00f6reslog att man skulle citera str\u00e4ngar och undvika citat. Detta implementerades i m\u00e5nga API:er vid den tiden, som mysql_escape_string() i PHP. En annan attack f\u00f6r att besegra den h\u00e4r typen av skydd missbrukade hur data \u00f6vers\u00e4tts \u00f6ver vissa multi-byte teckenkodningar, s\u00e5som GBK och UTF-8. Och \u00e4ven om funktionen mysql_real_escape_string() var motst\u00e5ndskraftig mot denna attack, hade den flera andra problem. F\u00f6r det f\u00f6rsta anv\u00e4nder escape-funktioner alltid en inbyggd lista med “onda” karakt\u00e4rer som m\u00e5ste escapas. Men angriparen kan kanske utf\u00f6ra en injektion som inte kr\u00e4ver citattecken, som n\u00e4r man riktar in sig p\u00e5 ett kolumnnamn eller numeriskt f\u00e4lt, vilket g\u00f6r dessa f\u00f6rsvar v\u00e4rdel\u00f6sa. Angriparen kan ocks\u00e5 anv\u00e4nda hex-str\u00e4ngkodning f\u00f6r att d\u00f6lja citattecken.

Svartlistning var en annan typisk l\u00f6sning som fortfarande anv\u00e4nds av webbapplikationsbrandv\u00e4ggar och liknande produkter. Dessa f\u00f6rbjuder helt enkelt vissa karakt\u00e4rer att komma igenom; Men med smart anv\u00e4ndning av kodningstrick och SQL-funktioner kan en angripare enkelt komma runt m\u00e5nga av dessa skydd. OWASP har n\u00e5gra exempel p\u00e5 flykttekniker h\u00e4r.<\/p>\n\n\n\n

Naturligtvis, med en s\u00e5 v\u00e4lk\u00e4nd s\u00e5rbarhetstyp \u2013 som vanligtvis utnyttjas p\u00e5 ett mycket liknande s\u00e4tt, med endast mindre skillnader baserade p\u00e5 DBMS och plattform \u2013 var automatiserad uppt\u00e4ckt och exploatering ocks\u00e5 oundviklig. Idag finns det m\u00e5nga verktyg som automatiskt kan hitta och utnyttja SQL-injektionss\u00e5rbarheter, till exempel sqlmap. Att uppt\u00e4cka SQL-injektion i k\u00e4llkoden \u00e4r ocks\u00e5 ganska enkelt, eftersom det alltid f\u00f6ljer ett m\u00f6nster f\u00f6r att infoga en str\u00e4ng som tillhandah\u00e5lls av anv\u00e4ndaren direkt i en SQL-fr\u00e5gestr\u00e4ng.<\/p>\n\n\n\n

Eftersom SQL-injektion h\u00e4rr\u00f6r fr\u00e5n ett konceptuellt misstag av programmeraren genom att blanda data och kod, har den korrekta l\u00f6sningen alltid funnits d\u00e4r. Separera SQL-fr\u00e5gan fr\u00e5n anv\u00e4ndarinmatning och anv\u00e4nd ett s\u00e4kert API f\u00f6r att binda anv\u00e4ndarinmatning till l\u00e4mpliga f\u00e4lt i fr\u00e5gan. F\u00f6rberedda satser eller parametriserade fr\u00e5gor \u2013 ursprungligen skapade f\u00f6r att f\u00f6rb\u00e4ttra SQL-prestanda med upprepade fr\u00e5gor \u2013 kan anv\u00e4ndas f\u00f6r att realisera detta. Eftersom dessa tekniker f\u00f6rkompilerar den (statiska) satsen och binder anv\u00e4ndarvariablerna till fr\u00e5gan, kan de f\u00f6rhindra SQL-injektionsproblemet helt. Oavsett vilken typ av knepig str\u00e4ng angriparen f\u00f6rs\u00f6ker skicka till servern, kommer den bara att behandlas som data i uttalandet.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

De good guys har besegrat SQL-injektion \u2013 vad nu?<\/strong><\/p>\n\n\n\n

Med en s\u00e5dan silverkula l\u00f6sning till hands skulle man f\u00f6rv\u00e4nta sig att SQL-injektion skulle vara ett problem fr\u00e5n det f\u00f6rflutna… tyv\u00e4rr har det inte varit fallet. Den h\u00e4r webbplatsen har h\u00e5llit reda p\u00e5 PHP- och MySQL-relaterade fr\u00e5gor och svar publicerade p\u00e5 Stack Overflow som inneh\u00f6ll kodfragment med potentiella SQL-injektioner. Det mest sl\u00e5ende resultatet \u00e4r att andelen fr\u00e5gor och svar med potentiellt s\u00e5rbar kod verkar ungef\u00e4r konstant p\u00e5 runt 48-50 % mellan 2008 och 2018 (med mindre fluktuationer), trots en betydande utveckling av skydds\u00e5tg\u00e4rder! S\u00f6kning i NVD ger liknande resultat \u2013 SQL-injektion har stadigt utgjort 3-4 % av alla s\u00e5rbarheter sedan 2014 (med 2016 som en outlier). \u00c4ven om det aldrig kommer att bli s\u00e5 stort som det var under slutet av 2000-talet, kommer det inte att f\u00f6rsvinna snart.<\/p>\n\n\n\n

Om n\u00e5got, detta belyser att oavsett hur “s\u00e5 om ett visst s\u00e4kerhetsproblem kan se ut vid f\u00f6rsta anblicken, kommer det att forts\u00e4tta att vara ett problem under mycket l\u00e5ng tid om det inte bokstavligen g\u00f6rs om\u00f6jligt f\u00f6r programmerare att g\u00f6ra misstaget i f\u00f6rsta hand. SQL-injektion \u2013 och injektionsproblem i allm\u00e4nhet \u2013 \u00e4r ett mycket viktigt \u00e4mne; vi tar upp det p\u00e5 v\u00e5ra kurser. V\u00e5rt material diskuterar toppmoderna SQL-injektionsattacktekniker och verktyg samt dess relation till nyare ‘NoSQL’-teknologier som Hibernate, MongoDB, DynamoDB och CosmosDB. \u00c4nnu viktigare, vi t\u00e4cker de olika skyddstekniker som \u00e4r tillg\u00e4ngliga f\u00f6r utvecklare i en m\u00e4ngd olika programmeringsspr\u00e5k och plattformar.<\/p>\n\n\n\n

<\/p>\n\n\n\n

Relaterade kurser:
Web application security in Java <\/a>
Security testing Python Web applications<\/a>
Web application security in Java and C#<\/a><\/p>\n<\/span><\/span>\r\n

\u00a0<\/span><\/span><\/h4>\r\n\"\"<\/span><\/span><\/div><\/div>","protected":false},"excerpt":{"rendered":"

SQL-injektion s\u00e5v\u00e4l som dess skyddstekniker har inte f\u00f6r\u00e4ndrats mycket under de senaste 20 \u00e5ren. \u00c4r det fortfarande relevant?Konceptet med SQL-injektion \u00e4r v\u00e4lk\u00e4nt. Det finns en popul\u00e4r XKCD-serie om det, som i sin tur inspirerade en dedikerad Bobby Tables-webbplats. Folk har till och med sk\u00e4mtsamt gjort f\u00f6retagsnamn och registreringsskyltar med exploateringsstr\u00e4ngar. En s\u00e5dan niv\u00e5 av medvetenhet […]<\/p>\n","protected":false},"author":6,"featured_media":26674,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[570],"tags":[],"class_list":["post-25488","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogg"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t