PostgreSQL SQL Injection Attack Mitigation-阿里云开发者社区

PostgreSQL SQL Injection Attack Mitigation

2016-03-31 2214

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

本文涉及的产品

云原生数据库 PolarDB MySQL 版，Serverless 5000PCU 100GB

简介：

SQL注入攻击指利用应用程序数据库接口漏洞进行攻击.

典型的SQL注入攻击图 :

PostgreSQL SQL Injection Attack Mitigation - 德哥@Digoal - PostgreSQL

SQL注入举例 :

1. 利用字符串未过滤逃逸字符的漏洞.

statement = "SELECT * FROM users WHERE name = '" + userName + "';"

这个SQL, 可以在userName这里注入攻击.

userName :  ' or '1'='1

那么整条sql就变成 :

SELECT * FROM users WHERE name = '' or '1'='1';

或者使用注释, 如果后面还有条件的话可以将后面的条件全部注释掉, 适用范围更广.

' or '1'='1' -- '

那么SQL语句变成 :

SELECT * FROM users WHERE name = '' OR '1'='1' -- ';

使用以上方法后可以得到users表的所有数据.

如果是一个update语句, 那么可以将所有用户信息更新掉. 危险性较大.

甚至可以执行其他破坏性更大的SQL.

例如 :

a';DROP TABLE users; SELECT * FROM userinfo WHERE 't' = 't

那么SQL变成 :

SELECT * FROM users WHERE name = 'a';DROP TABLE users; SELECT * FROM userinfo WHERE 't' = 't';

这样将会drop users表, 同时将userinfo表的信息全部查出.

2. 利用类型处理漏洞.

例如 :

statement := "SELECT * FROM userinfo WHERE id = " + a_variable + ";"

a_variable应该是int类型, 但是如果没有强类型机制的话, 攻击者就可以利用这个漏洞进行SQL注入.

如果a_variable等于1;DROP TABLE users

那么SQL变成 :

SELECT * FROM userinfo WHERE id=1;DROP TABLE users;

3. 使用以上方法还可以获取数据库版本, 根据版本漏洞进行攻击.

例如 :

注入

select version();

规避举例 :

1. 使用绑定变量

使用绑定变量后, 语句模板将提前提交给数据库, 例如

INSERT INTO PRODUCT (name, price) VALUES (?, ?)

数据库收到模板后, 解析,编译,执行sql优化器并保存结果.

对于PostgreSQL来说, 每个会话保持各自的sql优化结构. 但是并不一定每次都是有固定的执行计划, 因此不同的传入变量并不会影响执行计划的正确性. 参考.

http://blog.163.com/digoal@126/blog/static/1638770402012112452432251/

后续应用程序将变量值传递或者(bind)给数据库.

因为SQL解析已经提前处理, 因此能规避SQL注入攻击.

以下截取自wiki :

Java JDBC [edit]

This example uses Java and the JDBC API:

          java.sql.PreparedStatement stmt = connection.prepareStatement(
               "SELECT * FROM users WHERE USERNAME = ? AND ROOM = ?");
stmt.setString(1, username);
stmt.setInt(2, roomNumber);
stmt.executeQuery();

         

Java PreparedStatement provides "setters" (setInt(int), setString(String), setDouble(double), etc.) for all major built-in data types.

PHP PDO [edit]

This example uses PHP and PHP Data Objects (PDO):

          $stmt = $dbh->prepare("SELECT * FROM users WHERE USERNAME = ? AND PASSWORD = ?");
$stmt->execute(array($username, $password));

PERL DBI [edit]

This example uses Perl and DBI:

          my $stmt = $dbh->prepare('SELECT * FROM users WHERE USERNAME = ? AND PASSWORD = ?');
$stmt->execute($username, $password);

C# ADO.NET [edit]

This example uses C# and ADO.NET:

          using (SqlCommand command = connection.CreateCommand())
{
    command.CommandText = "SELECT * FROM users WHERE USERNAME = @username AND ROOM = @room";
 
    command.Parameters.AddWithValue("@username", username);
    command.Parameters.AddWithValue("@room", room);
 
    using (SqlDataReader dataReader = command.ExecuteReader())
    {
        // ...
    }
}

         

ADO.NET SqlCommand will accept any type for the value parameter of AddWithValue, and type conversion occurs automatically.

Note the use of "named parameters" (i.e. "@username") rather than "?" - this allows you to use a parameter multiple times and in any arbitrary order within the query command text.

Python DB-API [edit]

This example uses Python DB-API with SQLite and paramstyle='qmark':

          import sqlite3
conn = sqlite3.connect(':memory:')
c = conn.cursor()
 
_users = [('A', 'red'),
          ('B', 'green'),
          ('C', 'blue')]
c.executemany('INSERT INTO users VALUES (?,?)', _users)
 
params = ('B', 'green')
c.execute('SELECT * FROM users WHERE username=? AND room=?', params)
c.fetchone()
         