私のサイトはSQLインジェクションの脆弱性があります。

Question

私の顧客のサイトの1つでは、私は大きなセキュリティ上の問題を発見したと思います。 検索ボックスにセミコロンを入力したときに、スクリプトがSQLエラーを投げたことがわかりました。クエリがデータベース上で実行され '+AND+product_description.description+LIKE+'%Computers%

：だから私は、検索ボックスに以下のSQLコマンドを入力

...クエリ実行遊び始めました！

ハッカーがクエリの選択、挿入、削除を実行することに危害を加える可能性はありますか？私のクエリが実行されるという事実に基づいて、私はほとんどそれが害を及ぼすことが可能であるべきだと確信しています...そうですか？

Answer 1

はい、そうです。そのような方法では、入力を常にサニタイズし、直接使用しないでください。あるいは、SQLインジェクション攻撃によって遅かれ早かれ侵害されます。

Answer 2

はい、あなたは正しいです。このコードはSQLインジェクション攻撃のために公開されています。

Answer 3

これは間違いなくSQLインジェクションの一形態であり、あなたが心配しているのは正しいです。

しかし、それだけでは、予期しない方法でクエリパラメータを変更する以外のことができるかどうかを判断するには不十分です。たとえば、元のクエリにリストされていないテーブルからデータを取得するためにクエリを変更することができますが、これは十分に悪い可能性があります。

SQLクエリを作成する際に文字列連結を使用するのではなく、指定されたプレースホルダをユーザーが選択したデータ値で置き換えることを許可する "prepared statements"を使用することを強くお勧めします。データベースに渡す前に値を確認するのが賢明かもしれません。

Answer 4

あなたのサイトはSQLインジェクション攻撃に対して開放されています。最初に私がお勧めする短期的なものは、読み取り権のみを持つユーザーIDを作成し、このIDをすべてのクエリに使用することです。ハッカーはデータベースからデータを引き出すことはできますが、行や表を更新または削除するのは簡単ではありません。