วิธีการทำ SQL injection

วิธีการทำ SQL injection

       

วิธีการทำ SQL injection

       ก็คือ แฮกเกอร์จะใส่ชื่อ username อะไรก็ได้แต่ password สำหรับการทำ SQL injection จะใส่เป็น Logic Statement ยกตัวอย่างเช่น ' or '1' = '1 หรือ " or "1"= "1 หรือ a' or 1=1--Query = "SELECT * FROM product WHERE Password='$input'";

แต่ผู้ใช้ทำการใส่ ข้อมูลเป็น a' or 1=1--

ดังนั้น query ที่ได้จะเป้น

Query = "SELECT * FROM product WHERE Password='a' or 1=1--'";

จะเห็นว่าเมื่อนำไช้งานแล้ว จะสามารถเรียกดูข้อมูลได้เสมอ เนื่องจาก 1=1 เป็นจริงสมมุติว่า มีโค้ดต่อไปนี้ใน application และ parameter "userName" ซึ่งประกอบด้วย

ชื่อผู้ใช้ ช่องโหว่แบบ SQL Injection เกิดขึ้นในโค้ดนี้:

statement := "SELECT * FROM users WHERE name = '" + userName + "';"ถ้าป้อน "a'; DROP TABLE users; SELECT * FROM data WHERE name LIKE '%"

เข้าไปในส่วน "userName" จะทำให้เกิด SQL statement ต่อไปนี้

SELECT * FROM users WHERE name = 'a'; DROP TABLE users; SELECT * FROM data WHERE name LIKE '%';ฐานข้อมูลจะเอ็กซิคิวท์ statement ตามลำดับ คือ select data, drop user table

และ select data ทำให้ผู้ใช้เว็ปสามารถดูหรือแก้ไขข้อมูลใด ๆ ที่อยู่ในฐานข้อมูล

ที่ผู้ใช้ที่เชื่อมโยงกับฐานข้อมูลสามารถอ่าน หรือแก้ไขได้วิธีการป้องกันนักพัฒนาระบบ (Web Application Developer) ควรจะระมัดระวัง input string ที่มาจากทางฝั่ง Client (Web Browser) และไม่ควรใช้วิธีติดต่อกับระบบภายนอกโดยไม่จำเป็นควรมีการ "กรอง" ข้อมูลขาเข้าที่มาจาก Web Browser ผ่านมาทางผู้ใช้ Client อย่างละเอียด และ ทำการ "กรอง" ข้อมูลที่มีลักษณะที่เป็น SQL injection statement ออกไปเสียก่อนที่จะส่งให้กับระบบฐานข้อมูล SQL ต่อไปการใช้ Stored Procedure หรือ Trigger ก็เป็นทางออกหนึ่งในการเขียนโปรแกรมสั่งงานไปยังระบบฐานข้อมูล SQL ซึ่งมีความปลอดภัยมากกว่าการใช้ "Dynamic SQL Statement " กับฐานข้อมูล SQL ตรงๆช่องโหว่แบบ SQL Injection สามารถแก้ไขได้ใน programming language ส่วนใหญ่

ในภาษา Java ควรมีการใช้ PreparedStatement classแทนที่จะใช้

Connection con = (acquire Connection)

Statement stmt = con.createStatement();

ResultSet rset = stmt.executeQuery("SELECT * FROM users WHERE name = '" + userName + "';");

ให้ใช้โค้ดต่อไปนี้แทน

Connection con = (acquire Connection)

PreparedStatement pstmt = con.prepareStatement("SELECT * FROM users WHERE name = ?");

pstmt.setString(1, userName);

ResultSet rset = stmt.executeQuery();