SQL-инъекции
SQL-инъекции на первом месте по доступности для взлома сайтов. Простыми словами, это внедрение в базу данных SQL кода. Если нет защиты от таких действий, сайт начинает действовать по «вражеской» программе и базы данных полностью доступны злоумышленникам.
Как обнаружить SQL-инъекции?
Есть несколько способов для обнаружения SQL-инъекций. Самый простой – добавить «или» после нескольких разных параметров и получится ошибка базы данных, возвращенная с веб-сервера.
Можно использовать параметры в общем запросе HTTP GET. Наиболее вероятно – это могут быть параметры URL: id, имена и значения cookie, заголовки Host и разные другие заголовки пользователей. Но и любой другой контент в HTTP-запросе может пострадать от SQL.
Обнаружение потенциальных параметров для инъекций проще сделать, если вызвать ошибку и логическую логику в приложении. Искаженные запросы вызовут ошибки, а отправка нормальных запросов с разными выражениями логической логики вызовет ответы с веб-сервера, но они будут разные.
Типы инъекций
Все инъекции можно разделить на несколько типов.
1. На основе ошибок. Они реализуются запуском ошибок в базы данных, когда в них передаются ошибочные данные. Информацию с сообщений об ошибках используют для возврата всех результатов запроса или что бы получить данные о том, как изменить запрос для следующей работы.
2. Основанные на объединении. Инъекции SQL на основе объединений позволяют мошеннику извлечь данные из базы методом расширения результатов, возвращаемых исходным запросом. Эта стратегия будет работать, только если исходные или новые запросы одинаковы по своей структуре. Будут иметь одинаковое число столбцов и типы информации в них
3. На слепой основе. Инъекция слепого SQL – один из самых продвинутых способов внедрения. Но стоит быть осторожными при их выполнении, ведь они часто перегружают сервер, если их выполняют с помощью тяжелой автоматизации.
Техника инъекций
Существуют различия и в методах для использования разных SQL-инъекций.
1. Условные операторы. Они подойдут для получения сложных запросов и как помощники для слепых инъекций.
2. Размещение инъекций. Инъекции SQL добавят хлопот, если неизвестно, в каком месте происходит внедрение. Полезно знать не один способ использования инъекции в разных частях запроса.
3. Инъекционная запутанность. Запутывание запросов поможет обходить WAF и системы для обнаружений и предотвращений внедрений (IDS / IPS).
