Praktyczny poradnik SQL Injection

Wstęp

SQL Injection (SQLi) to jedna z najbardziej niebezpiecznych i powszechnych technik ataku na aplikacje webowe, która pozwala atakującemu manipulować zapytaniami SQL do bazy danych. Temat wydawał się dla mnie bardzo łatwy i oczywisty. Trafiłem jednak na sytuację w której moja wiedza na temat tego rodzaju ataku nie była wystarczająca by poradzić sobie z rozwiązaniem pokoju. Zacząłem zgłębiać ten temat odświeżając swoje stare notatki i okazuję się że dowiedziałem się nowych rzeczy. Tak więc zachęcam do dalszej lektury, na pewno nie stracisz czasu a uzupełnisz swoją wiedzę!

SELECT * FROM users WHERE id = $id;

SELECT * FROM users WHERE id = '1'';

SELECT name, email FROM users WHERE id = $id;

SELECT name, email FROM users WHERE id = 1 UNION SELECT username, password FROM admin--;

SELECT * FROM users WHERE id = $id;

SELECT * FROM users WHERE id = 1 AND 1=1;

SELECT * FROM users WHERE id = 1 AND 1=2;

SELECT * FROM users WHERE id = $id;

SELECT * FROM users WHERE id = 1 AND IF(1=1, SLEEP(5), 0);

SELECT * FROM users WHERE id = 1 AND IF(1=2, SLEEP(5), 0);

Jak wykryć SQL Injection?

Wykrywanie SQL Injection (SQLi) jest kluczowe dla zapewnienia bezpieczeństwa aplikacji webowych. Oto przystępne wyjaśnienie, jak wykryć SQL Injection, wraz z przykładami logów i wskazówkami, na co zwracać uwagę.

1. Analiza Logów Serwera

Opis: Logi serwera mogą zawierać cenne informacje o podejrzanych działaniach. Szukaj nietypowych wzorców, które mogą wskazywać na próby SQL Injection.

Przykłady Logów:

1. Podejrzane Znaki i Sekwencje:
   • "SELECT * FROM users WHERE id = '1' OR '1'='1' --"
   • W logach można zauważyć wprowadzone znaki ', --, ;, które mogą wskazywać na próbę wstrzyknięcia SQL.
2. Długie Zapytania:
   • id=1; DROP TABLE users; --
   • Długie i skomplikowane zapytania, zwłaszcza zawierające słowa kluczowe SQL, takie jak DROP, SELECT, UNION.

Na co zwracać uwagę:

• Niezwykle długie ciągi znaków w polach wejściowych.
• Specjalne znaki, takie jak ', --, ;, które są często używane w atakach SQL Injection.
• Niespodziewane błędy serwera, które mogą wskazywać na błędy SQL.

2. Analiza Błędów Serwera

Opis: Błędy serwera mogą zawierać informacje o nieudanych próbach wstrzyknięcia SQL. Jeśli aplikacja zwraca komunikaty o błędach SQL, może to wskazywać na próbę ataku.

Przykłady Błędów:

1. Typowy Błąd SQL:
   • You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '1'' at line 1
   • Tego typu komunikaty mogą wskazywać na próbę wstrzyknięcia SQL.
2. Błędy Łączenia Zapytania:
   • Unclosed quotation mark after the character string '';
   • Błędy wskazujące na problem z zamykaniem cudzysłowów.

Na co zwracać uwagę:

• Błędy składni SQL w logach aplikacji.
• Błędy związane z niezamkniętymi cudzysłowami lub nawiasami.
• Błędy logiczne wynikające z nieprawidłowego formatu zapytania SQL.

3. Analiza Ruchu Sieciowego

Opis: Analiza ruchu sieciowego może ujawnić podejrzane zapytania wysyłane do serwera. Można to zrobić za pomocą narzędzi takich jak Wireshark, Burp Suite, czy inne narzędzia do analizy ruchu.

Przykłady:

1. Podejrzane Żądania HTTP:
   • GET /user?id=1 OR 1=1 HTTP/1.1
   • Żądania zawierające SQL Injection payloady.
2. Post Data:
   • POST /login HTTP/1.1: username=admin’–&password=12345
   • Dane POST zawierające podejrzane ciągi znaków.

Na co zwracać uwagę:

• Żądania HTTP zawierające podejrzane ciągi znaków, takie jak ', --, ;, OR 1=1.
• Dane POST zawierające długie lub podejrzane ciągi znaków.

4. Użycie Narzędzi Automatycznych

Opis: Istnieje wiele narzędzi, które mogą automatycznie skanować aplikacje pod kątem podatności na SQL Injection.

Przykłady Narzędzi:

• SQLMap: Narzędzie do automatycznego testowania SQL Injection.
• OWASP ZAP: Narzędzie do testowania bezpieczeństwa aplikacji webowych.

Przykład Użycia SQLMap:

sqlmap -u "http://example.com/user?id=1" --batch --dbs

Polecenie to skanuje podaną URL w poszukiwaniu podatności SQL Injection i wylistuje dostępne bazy danych, jeśli jest podatność.

5. Weryfikacja Wniosków

Opis: Testowanie aplikacji w środowisku testowym może pomóc w wykryciu podatności przed wdrożeniem na produkcję.

Przykład:

1. Testowanie Ręczne:
   • Próbuj wprowadzać różne payloady, takie jak 1' OR '1'='1, aby sprawdzić, czy aplikacja jest podatna.
2. Automatyczne Testowanie:
   • Użycie skryptów i narzędzi do automatycznego testowania różnych punktów wejścia w aplikacji.

$pdo = new PDO('mysql:host=localhost;dbname=testdb', 'username', 'password');
$stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
$stmt->execute(['id' => $userInput]);
$user = $stmt->fetch();

import sqlite3

conn = sqlite3.connect('example.db')
cursor = conn.cursor()
cursor.execute("SELECT * FROM users WHERE id = ?", (user_input,))
rows = cursor.fetchall()

from myapp.models import User

user = User.objects.get(id=user_input)

User user = session.get(User.class, userId);

if (!filter_var($userInput, FILTER_VALIDATE_INT)) {
    // Handle invalid input
}

from cerberus import Validator

schema = {'id': {'type': 'integer', 'min': 1}}
v = Validator(schema)
if not v.validate({'id': user_input}):
    # Handle invalid input

echo htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8');

Dawid Lis

Dawid Lis, Inżynier ds. Wdrożeń Systemów Cyberbezpieczeństwa w firmie Advatech, to absolwent renomowanego Wydziału Elektroniki Politechniki Wrocławskiej. Jego pasja do cyberbezpieczeństwa rozpoczęła się w 2021 roku, kiedy to rozpoczął swoją profesjonalną karierę w tej dziedzinie.

Jako Inżynier ds. Wdrożeń Systemów Cyberbezpieczeństwa, Dawid kieruje się głównie audytami i testami, które mają na celu sprawdzenie oraz wzmocnienie zabezpieczeń systemów. Jego zaangażowanie w tę dziedzinę nie kończy się na środowisku zawodowym – aktywnie dzieli się swoją wiedzą i doświadczeniem na platformach społecznościowych, zachęcając zarówno osoby techniczne, jak i nietechniczne do podnoszenia świadomości w obszarze cyberbezpieczeństwa.

Dawidowi zależy na tym, aby przekazywać zdobytą wiedzę w sposób przystępny i atrakcyjny, aby zainteresować jak największą liczbę osób. Jego naczelną misją jest edukacja w świecie cyfrowym, który uważa za kluczowy obszar współczesnej rzeczywistości. Poza pracą zawodową, Dawid pasjonuje się rozwiązywaniem CTF-ów (Capture The Flag), widząc w nich zarówno wyzwanie, jak i fascynującą zabawę.