Jassif Team Institution

SQL Injection என்றால் என்ன?

SQL injection என்பது உங்கள் தரவுத்தளத்தை அழிக்கக்கூடிய ஒரு குறியீடு உட்செலுத்தும் நுட்பமாகும்.

SQL injection மிகவும் பொதுவான வலை ஹேக்கிங் நுட்பங்களில் ஒன்றாகும்.

SQL injection என்பது வலைப்பக்க உள்ளீடு மூலம் SQL அறிக்கைகளில் தீங்கிழைக்கும் குறியீட்டை வைப்பதாகும்.

வலைப்பக்கங்களில் SQL

SQL injection பொதுவாக நீங்கள் ஒரு பயனரிடம் உள்ளீட்டைக் கேட்கும்போது ஏற்படுகிறது, அவர்களின் பயனர்பெயர்/பயனர் ஐடி போன்றவற்றைக் கேட்கும்போது, ஒரு பெயர்/ஐடிக்குப் பதிலாக, பயனர் உங்களுக்கு ஒரு SQL அறிக்கையை வழங்குகிறார், அதை நீங்கள் அறியாமல் உங்கள் தரவுத்தளத்தில் இயக்குவீர்கள்.

பின்வரும் உதாரணத்தைப் பாருங்கள், இது ஒரு மாறியை (txtUserId) ஒரு தேர்வு சரத்தில் சேர்ப்பதன் மூலம் ஒரு SELECT அறிக்கையை உருவாக்குகிறது. மாறி பயனர் உள்ளீட்டிலிருந்து பெறப்படுகிறது (getRequestString):

txtUserId = getRequestString("UserId");
txtSQL = "SELECT * FROM Users WHERE UserId = " + txtUserId;

இந்த அத்தியாயத்தின் மீதமுள்ள பகுதி SQL அறிக்கைகளில் பயனர் உள்ளீட்டைப் பயன்படுத்துவதன் சாத்தியமான ஆபத்துகளை விவரிக்கிறது.

1=1 அடிப்படையிலான SQL Injection எப்போதும் உண்மை

மேலே உள்ள உதாரணத்தை மீண்டும் பாருங்கள். குறியீட்டின் அசல் நோக்கம், கொடுக்கப்பட்ட பயனர் ஐடியுடன் ஒரு பயனரைத் தேர்ந்தெடுக்க ஒரு SQL அறிக்கையை உருவாக்குவதாகும்.

ஒரு பயனர் "தவறான" உள்ளீட்டை உள்ளிடுவதைத் தடுக்க எதுவும் இல்லை என்றால், பயனர் இதுபோன்ற சில "ஸ்மார்ட்" உள்ளீட்டை உள்ளிடலாம்:

UserId: 105 OR 1=1

பின்னர், SQL அறிக்கை இப்படித் தோற்றமளிக்கும்:

SELECT * FROM Users WHERE UserId = 105 OR 1=1;

மேலே உள்ள SQL செல்லுபடியாகும் மற்றும் "Users" அட்டவணையிலிருந்து அனைத்து வரிசைகளையும் திருப்பித் தரும், ஏனெனில் OR 1=1 எப்போதும் TRUE ஆகும்.

""="" அடிப்படையிலான SQL Injection எப்போதும் உண்மை

ஒரு வலைத்தளத்தில் பயனர் உள்நுழைவின் உதாரணம் இங்கே:

Username: John Doe
Password: myPass

uName = getRequestString("username");
uPass = getRequestString("userpassword");

sql = 'SELECT * FROM Users WHERE Name ="' + uName + '" AND Pass ="' + uPass + '"'

SELECT * FROM Users WHERE Name ="John Doe" AND Pass ="myPass"

ஒரு ஹேக்கர் பயனர் பெயர் அல்லது கடவுச்சொல் உரை பெட்டியில் " OR ""=" செருகுவதன் மூலம் ஒரு தரவுத்தளத்தில் பயனர் பெயர்கள் மற்றும் கடவுச்சொற்களுக்கு அணுகலைப் பெறலாம்:

User Name: " or ""="
Password: " or ""="

சர்வரில் உள்ள குறியீடு இப்படி ஒரு செல்லுபடியாகும் SQL அறிக்கையை உருவாக்கும்:

SELECT * FROM Users WHERE Name ="" or ""="" AND Pass ="" or ""=""

மேலே உள்ள SQL செல்லுபடியாகும் மற்றும் "Users" அட்டவணையிலிருந்து அனைத்து வரிசைகளையும் திருப்பித் தரும், ஏனெனில் OR ""="" எப்போதும் TRUE ஆகும்.

தொகுக்கப்பட்ட SQL அறிக்கைகளின் அடிப்படையிலான SQL Injection

பெரும்பாலான தரவுத்தளங்கள் தொகுக்கப்பட்ட SQL அறிக்கைகளை ஆதரிக்கின்றன.

SQL அறிக்கைகளின் தொகுப்பு என்பது இரண்டு அல்லது அதற்கு மேற்பட்ட SQL அறிக்கைகளின் குழுவாகும், அவை அரைப்புள்ளிகளால் பிரிக்கப்படுகின்றன.

கீழே உள்ள SQL அறிக்கை "Users" அட்டவணையிலிருந்து அனைத்து வரிசைகளையும் திருப்பித் தரும், பின்னர் "Suppliers" அட்டவணையை நீக்கும்.

SELECT * FROM Users; DROP TABLE Suppliers

பின்வரும் உதாரணத்தைப் பாருங்கள்:

txtUserId = getRequestString("UserId");
txtSQL = "SELECT * FROM Users WHERE UserId = " + txtUserId;

பின்வரும் உள்ளீடு:

User id: 105; DROP TABLE Suppliers

செல்லுபடியாகும் SQL அறிக்கை இப்படித் தோற்றமளிக்கும்:

SELECT * FROM Users WHERE UserId = 105; DROP TABLE Suppliers;

பாதுகாப்பிற்கான SQL அளவுருக்களைப் பயன்படுத்துதல்

ஒரு வலைத்தளத்தை SQL injection இலிருந்து பாதுகாக்க, நீங்கள் SQL அளவுருக்களைப் பயன்படுத்தலாம்.

SQL அளவுருக்கள் என்பது கட்டுப்படுத்தப்பட்ட முறையில், இயக்க நேரத்தில் ஒரு SQL குவெரியில் சேர்க்கப்படும் மதிப்புகள்.

ASP.NET Razor உதாரணம்

txtUserId = getRequestString("UserId");
txtSQL = "SELECT * FROM Users WHERE UserId = @0";
db.Execute(txtSQL, txtUserId);

மற்றொரு உதாரணம்

txtNam = getRequestString("CustomerName");
txtAdd = getRequestString("Address");
txtCit = getRequestString("City");
txtSQL = "INSERT INTO Customers (CustomerName,Address,City) Values(@0,@1,@2)";
db.Execute(txtSQL, txtNam, txtAdd, txtCit);

பாதுகாப்பு உதாரணங்கள்

பின்வரும் உதாரணங்கள் சில பொதுவான வலை மொழிகளில் அளவுருக்கள் குவெரிகளை எவ்வாறு உருவாக்குவது என்பதைக் காட்டுகின்றன.

txtUserId = getRequestString("UserId");
sql = "SELECT * FROM Customers WHERE CustomerId = @0";
command = new SqlCommand(sql);
command.Parameters.AddWithValue("@0", txtUserId);
command.ExecuteReader();

txtNam = getRequestString("CustomerName");
txtAdd = getRequestString("Address");
txtCit = getRequestString("City");
txtSQL = "INSERT INTO Customers (CustomerName,Address,City) Values(@0,@1,@2)";
command = new SqlCommand(txtSQL);
command.Parameters.AddWithValue("@0", txtNam);
command.Parameters.AddWithValue("@1", txtAdd);
command.Parameters.AddWithValue("@2", txtCit);
command.ExecuteNonQuery();

$stmt = $dbh->prepare("INSERT INTO Customers (CustomerName,Address,City) 
VALUES (:nam, :add, :cit)");
$stmt->bindParam(':nam', $txtNam);
$stmt->bindParam(':add', $txtAdd);
$stmt->bindParam(':cit', $txtCit);
$stmt->execute();

SQL Injection தடுப்பு சிறந்த நடைமுறைகள்

பயிற்சி