to the top
close form
Для получения триального ключа
заполните форму ниже
Team license
Enterprise license
** Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

close form
Запросите информацию о ценах
Новая лицензия
Продление лицензии
--Выберите валюту--
USD
EUR
* Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

close form
Бесплатная лицензия PVS-Studio для специалистов Microsoft MVP
** Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

close form
Для получения лицензии для вашего открытого
проекта заполните, пожалуйста, эту форму
** Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

close form
Мне интересно попробовать плагин на:
** Нажимая на кнопку, вы даете согласие на обработку
своих персональных данных. См. Политику конфиденциальности

close form
check circle
Ваше сообщение отправлено.

Мы ответим вам на


Если вы так и не получили ответ, пожалуйста, проверьте папку
Spam/Junk и нажмите на письме кнопку "Не спам".
Так Вы не пропустите ответы от нашей команды.

SQL-инъекция

10 Сен 2021

SQL-инъекциями называют атаки, позволяющие злоумышленнику производить различные несанкционированные действия над базой данных. Они могут затрагивать как сами данные, так и структуру базы. Для этого в качестве входных данных передаются специальные строки, содержащие вредоносные команды. Приложение, уязвимое к SQL-инъекциям, производит вставку этих строк в шаблон запроса без проведения необходимых проверок. В результате формируется запрос, выполняющий действия, определённые злоумышленником. При этом запрос будет являться корректным с точки зрения синтаксиса SQL.

Уязвимости данного типа представляют серьёзную угрозу. В OWASP ASVS они принадлежат категориям 5.3.4 и 5.3.5, а в списке OWASP Top Ten 2017 их можно отнести к категории A1 (Injection). Также в Common Weakness Enumeration SQL-инъекциям соответствует позиция CWE-89.

Пример уязвимости

Для наглядной демонстрации возможностей SQLI рассмотрим следующий пример:

void ProcessRequest(HttpRequest request) 
{ 
  string name = request.Form["name"];

  string sql = $"SELECT * FROM Users WHERE name='{name}'";
  ExecuteReaderCommand(sql);

  .... 
}

void ExecuteReaderCommand(string sql) 
{
  using (var command = new SqlCommand(sql, _connection))
  { 
    using (var reader = command.ExecuteReader()) { .... } 
  } 
  .... 
}

Предполагается, что в параметре 'name' будет записано имя пользователя, данные которого будут получены из базы и в последствии обработаны. При этом модификация значений в базе не производится – приведённый фрагмент должен лишь считывать их.

Данный код уязвим к SQL-инъекциям, так как в нём непроверенные внешние данные используются для формирования запроса к базе. Вследствие этого злоумышленник имеет возможность передать в приложение строку, которая приведёт к выполнению различных несанкционированных операций.

К примеру, в параметре 'name' может быть записано следующее значение:

'; DELETE FROM Users WHERE name != '

При подстановке этой строки в шаблон запроса получится следующая SQL-команда:

SELECT * FROM Users WHERE name='';
DELETE FROM Users WHERE name != ''

Выполнение такого запроса приведёт к удалению всех записей из таблицы 'Users' (при условии, что для каждого пользователя задано значение столбца 'name').

Поиск потенциальных уязвимостей

Одной из важнейших задач при обеспечении устойчивости приложения к SQL-инъекциям является поиск фрагментов кода, которые могут быть уязвимы к данному виду атак. Для этого необходимо найти и изучить все места, в которых производится формирование и выполнение запросов к базе данных. Многие разработчики используют для этих целей различные инструменты, производящие taint-анализ. Одним из таких инструментов является статический анализатор PVS-Studio.

Вернёмся к ранее приведённому примеру:

void ProcessRequest(HttpRequest request) 
{ 
  string name = request.Form["name"];

  string sql = $"SELECT * FROM Users WHERE name='{name}'";
  ExecuteReaderCommand(sql);

  .... 
}

void ExecuteReaderCommand(string sql) 
{
  using (var command = new SqlCommand(sql, _connection))
  { 
    using (var reader = command.ExecuteReader()) { .... } 
  } 
  .... 
}

Производя taint-анализ, PVS-Studio обнаружит здесь потенциальную уязвимость и сформирует следующее сообщение: V5608 Possible SQL injection inside method. Potentially tainted data in the first argument 'sql' is used to create SQL command.

Таким образом, статический анализатор позволяет автоматически определять наличие в коде потенциальных уязвимостей.

Борьба с SQL-инъекциями

Рекомендуемым способом борьбы с SQL-инъекциями считаются параметризованные запросы. Суть их использования состоит в том, что подстановка внешних данных в шаблон запроса производится не напрямую, а через специализированное API. Сформированный таким образом запрос будет безопасным, так как внешние данные перед фактической подстановкой будут преобразованы.

Способы работы с параметризованными запросами в различных языках программирования могут отличаться, однако основная идея остаётся неизменной. К примеру, в C# формирование запроса с параметрами может производиться следующим образом:

String userName = Request.Form["name"];

using (var command = new SqlCommand()
{
  Connection = _connection,
  CommandText = "SELECT * FROM Users WHERE UserName = @userName",
  CommandType = System.Data.CommandType.Text
})
{
  var userNameParam = new SqlParameter("@userName", userName);
  command.Parameters.Add(userNameParam);
            
  using (var reader = command.ExecuteReader()) { .... }
}

Такой подход обеспечивает безопасность использования внешних данных при формировании запросов к базе. Тем не менее, существуют и другие методы борьбы с SQL-инъекциями. К примеру, можно использовать специальную систему валидации внешних данных, которая позволит обнаруживать в них фрагменты SQL-команд, либо преобразовывать данные в безопасный вид с помощью различных функций. В отдельных случаях могут подойти и более простые подходы, такие как проверка типов переданных значений.

Дополнительные ссылки

Популярные статьи по теме
Обзор плагина PVS-Studio для Visual Studio Code

Дата: 02 Фев 2023

Автор: Андрей Москалёв

Благодаря новому плагину PVS-Studio преимущества статического анализа теперь доступны и при работе с редактором Visual Studio Code. В этой статье мы разберём использование плагина от этапа установки …
Изменения в PVS-Studio, о которых полезно знать

Дата: 31 Янв 2023

Автор: Сергей Васильев

В этой статье расскажу о том, что появилось в PVS-Studio за последние три года, и чем это полезно пользователям анализатора. Статья модульная: можно не читать от начала до конца, а посмотреть только …
C++ — язык 2022 года. Почему так, и что с другими языками?

Дата: 20 Янв 2023

Автор: Сергей Васильев

C++ становится языком 2022 года по версии TIOBE, обгоняя Python. Rust, C#, Go и прочие — далеко позади. Странно? Сейчас разберёмся.
PVS-Studio в 2022 году

Дата: 19 Янв 2023

Автор: Полина Алексеева

На дворе январь 2023, а значит, самое время подвести итоги уже прошлого 2022 года. Мы расскажем, чем занимались, и покажем, что нового появилось в анализаторе за это время. Давайте вместе взглянем на…
PVS-Studio: 2 фишки для быстрого старта

Дата: 08 Дек 2022

Автор: Сергей Васильев

В этой заметке расскажу, как легко начать использовать PVS-Studio. Рассмотрим два сценария: когда вы пробуете анализатор впервые и когда внедряете его в проект.

Комментарии (0)

Следующие комментарии next comments
close comment form
Unicorn with delicious cookie
Мы используем куки, чтобы пользоваться сайтом было удобно.
Хорошо