Jassif Team Institution

SQL Injection क्या हैं?

SQL इंजेक्शन एक कोड इंजेक्शन तकनीक है जो आपके डेटाबेस को नष्ट कर सकती है।

SQL इंजेक्शन सबसे आम वेब हैकिंग तकनीकों में से एक है।

SQL इंजेक्शन वेब पेज इनपुट के माध्यम से SQL स्टेटमेंट में दुर्भावनापूर्ण कोड का सम्मिलन है।

वेब पेजों में SQL

एसक्यूएल इंजेक्शन आम तौर पर तब होता है जब आप किसी उपयोगकर्ता से इनपुट मांगते हैं, जैसे कि उनका उपयोगकर्ता नाम/उपयोगकर्ता आईडी, और नाम/आईडी के बजाय, उपयोगकर्ता आपको एक एसक्यूएल स्टेटमेंट देता है जिसे आप अनजाने में अपने डेटाबेस के खिलाफ चलाते हैं।

निम्नलिखित उदाहरण देखें, जो एक चयनित स्ट्रिंग में एक वेरिएबल (txtUserId) जोड़कर एक SELECT स्टेटमेंट बनाता है। वेरिएबल को उपयोगकर्ता इनपुट (getRequestString) से पुनर्प्राप्त किया गया है:

txtUserId = getRequestString("UserId");
txtSQL = "SELECT * FROM Users WHERE UserId = " + txtUserId;

इस अध्याय का शेष भाग SQL कथनों में उपयोगकर्ता इनपुट का उपयोग करने के संभावित नुकसानों का वर्णन करता है।

1=1 पर आधारित SQL इंजेक्शन हमेशा सत्य होता है

उपरोक्त उदाहरण को फिर से देखें. कोड का मूल उद्देश्य किसी दिए गए उपयोगकर्ता आईडी वाले उपयोगकर्ता का चयन करने के लिए एक SQL स्टेटमेंट बनाना था।

यदि उपयोगकर्ता को "गलत" इनपुट दर्ज करने से रोकने के लिए कुछ भी नहीं है, तो उपयोगकर्ता इस तरह कुछ "स्मार्ट" इनपुट दर्ज कर सकता है:

UserId: 105 OR 1=1

फिर, SQL कथन इस तरह दिखेगा:

SELECT * FROM Users WHERE UserId = 105 OR 1=1;

उपरोक्त SQL मान्य है और "उपयोगकर्ता" तालिका से सभी पंक्तियाँ लौटाएगा क्योंकि OR 1=1 हमेशा सत्य है।

""="" पर आधारित SQL इंजेक्शन हमेशा सत्य होता है

यहां किसी वेबसाइट पर उपयोगकर्ता लॉगिन का एक उदाहरण दिया गया है:

Username: John Doe
Password: myPass

uName = getRequestString("username");
uPass = getRequestString("userpassword");

sql = 'SELECT * FROM Users WHERE Name ="' + uName + '" AND Pass ="' + uPass + '"'

SELECT * FROM Users WHERE Name ="John Doe" AND Pass ="myPass"

एक हैकर उपयोगकर्ता नाम या पासवर्ड टेक्स्ट बॉक्स में " OR ""= डालकर डेटाबेस में उपयोगकर्ता नाम और पासवर्ड तक पहुंच प्राप्त कर सकता है:

User Name: " or ""="
Password: " or ""="

सर्वर पर कोड एक वैध SQL कथन उत्पन्न करेगा:

SELECT * FROM Users WHERE Name ="" or ""="" AND Pass ="" or ""=""

उपरोक्त SQL मान्य है और "उपयोगकर्ता" तालिका से सभी पंक्तियाँ लौटाएगा क्योंकि OR ""='' हमेशा सत्य है।

संकलित SQL कथनों पर आधारित SQL इंजेक्शन

अधिकांश डेटाबेस संकलित SQL कथनों का समर्थन करते हैं।

SQL कथनों का एक सेट अर्धविराम द्वारा अलग किए गए दो या दो से अधिक SQL कथनों का एक समूह है।

नीचे दिया गया SQL कथन "उपयोगकर्ता" तालिका से सभी पंक्तियों को लौटा देगा और फिर "आपूर्तिकर्ता" तालिका को हटा देगा।

SELECT * FROM Users; DROP TABLE Suppliers

निम्नलिखित उदाहरण देखें:

txtUserId = getRequestString("UserId");
txtSQL = "SELECT * FROM Users WHERE UserId = " + txtUserId;

फिर निम्नलिखित दर्ज करें:

User id: 105; DROP TABLE Suppliers

एक वैध SQL कथन इस तरह दिखेगा:

SELECT * FROM Users WHERE UserId = 105; DROP TABLE Suppliers;

सुरक्षा के लिए SQL पैरामीटर्स का उपयोग करना

किसी वेबसाइट को SQL इंजेक्शन से बचाने के लिए, आप SQL पैरामीटर का उपयोग कर सकते हैं।

SQL पैरामीटर वे मान हैं जो रनटाइम पर नियंत्रित तरीके से SQL क्वेरी में जोड़े जाते हैं।

ASP.NET Razor उदाहरण

txtUserId = getRequestString("UserId");
txtSQL = "SELECT * FROM Users WHERE UserId = @0";
db.Execute(txtSQL, txtUserId);

एक और उदाहरण

txtNam = getRequestString("CustomerName");
txtAdd = getRequestString("Address");
txtCit = getRequestString("City");
txtSQL = "INSERT INTO Customers (CustomerName,Address,City) Values(@0,@1,@2)";
db.Execute(txtSQL, txtNam, txtAdd, txtCit);

सुरक्षा उदाहरण

निम्नलिखित उदाहरण दिखाते हैं कि कुछ सामान्य वेब भाषाओं में पैरामीटरयुक्त क्वेरी कैसे बनाई जाती हैं।

txtUserId = getRequestString("UserId");
sql = "SELECT * FROM Customers WHERE CustomerId = @0";
command = new SqlCommand(sql);
command.Parameters.AddWithValue("@0", txtUserId);
command.ExecuteReader();

txtNam = getRequestString("CustomerName");
txtAdd = getRequestString("Address");
txtCit = getRequestString("City");
txtSQL = "INSERT INTO Customers (CustomerName,Address,City) Values(@0,@1,@2)";
command = new SqlCommand(txtSQL);
command.Parameters.AddWithValue("@0", txtNam);
command.Parameters.AddWithValue("@1", txtAdd);
command.Parameters.AddWithValue("@2", txtCit);
command.ExecuteNonQuery();

$stmt = $dbh->prepare("INSERT INTO Customers (CustomerName,Address,City) 
VALUES (:nam, :add, :cit)");
$stmt->bindParam(':nam', $txtNam);
$stmt->bindParam(':add', $txtAdd);
$stmt->bindParam(':cit', $txtCit);
$stmt->execute();

एसक्यूएल इंजेक्शन रोकथाम सर्वोत्तम अभ्यास

अभ्यास