sql njection چيست ؟

sql njection چيست ؟
همانطور که می دانيد در اغلب برنامه های کاربردی تحت وب از بانکهای اطلاعاتی استفاده می شود . اين برنامه ها داده های ورودی کاربر را از طريق فرمهای html دريافت کرده و بر اساس آن يک query توليد کرده و آنرا به بانک اطلاعاتی ارسال می کنند . در واقع ارتباط بين برنامه تحت وب با بانک اطلاعاتی بر اساس توليد query از داده های کاربر برقرار می شود . اکثر اين برنامه ها از زبان SQL برای اين ارتباط استفاده می کنند . اما نکته ای که در اين بين وجود دارد اينست که توليد query بر اساس داده هايی که کاربر مستقيماً در فيلدهای ورودی صفحه وب وارد کرده می تواند خطرناک باشد . بعبارت ديگر اگر برنامه محتويات يک فيلد را که توسط کاربر وارد شده در جلوی يک دستور SQL بچسباند و آنرا جهت اجرا روی بانک اطلاعاتی بفرستد در اينصورت يک هکر ماهر که با زبان SQL آشنا باشد می تواند محتويات اين فيلدها را طوری با دستورات SQL پر کند و چون ای داده ها مستقيماً برای توليد query استفاده می شود ممکنست آن query تبديل به يک فرمان مخرب شده و پس از اجرا ، اهداف نفوذگر را برآورده نمايد .

مثال : فرض کنيد دو فيلد به اسمهای username و password در يک فرم وب قرار دارد که برای ورود به يک سايت استفاده می شود . همچنين فرض کنيد از اطلاعات اين فيلدها بطور مستقيم يک query بصورت زير برای بانک اطلاعاتی ارسال شود :

us=request.form("username")
psw=request.form("password")
query="SELECT * FROM Users WHERE username='"&us&"' AND password='"&psw&"'"

حال در صورتيکه هکر يک username صحيح ( مثلاً xxx ) از سيستم را بداند و در فيلد username مقدار صحيح را وارد کرده و در فيلد password عبارت زير را وارد کند :

1111111' or  username='xxx'

در اينصورت query بصورت زير در می آيد :

SELECT * FROM Users WHERE username='xxx' AND password='111111' or username='xxx'

در اينصورت هکر بدون دانستن يک password مجاز می تواند به سيستم وارد شود .
اين امر بخاطر آنست که چون فيلدهای وارد شده توسط کاربر بطور مستقيم در query قرار داده شده اند هکر توانسته کاراکتر ' را که در زبان SQL يک کاراکتر کنترلی بوده و عملکرد خاصی دارد ( عمل خاتمه دادن به عبارت SQL ) را در در query بگنجاند و سپس با دادن دستورات SQL مناسب کنترل را بدست بگيرد .

اين سناريو می تواند بسيار خطرناکتر باشد زيرا هکر می تواند از ساير دستورات SQL مثل INSERT و DELETE نيز استفاده کند .

- در نگارش مطالب فوق از کتاب " نفوذگری در شبکه و روشهای مقابله با آن " نوشته مهندس احسان ملکيان استفاده شده است . برای آشنايی بيشتر با sql-injection و روشهای مقابله با آن به صفحات ۳۲۰ تا ۳۲۸ اين کتاب مراجعه کنيد .

برای مقابله با اين حملات بايستی از داده های ارسال شده توسط کاربر مستقيماً query توليد نکنيم بلکه ابتدا عدم وجود کاراکترهای کنترلی مثل ' و " و ; و *و غيره را در آن بررسی کنيم . برنامه ابتدا بايد در query وجود چنين کاراکترهايی را در مکانهای غيرمجاز بررسی کند . در بخش بعدی برنامه ای را جهت بررسی query های SQL بمنظور مقابله با sql-injection ارائه خواهم داد .

امنيت در اينترنت و شبكه هاي ارتباطي

امنيت در اينترنت و شبكه هاي ارتباطي


هر چند فناوري اطلاعات و ارتباطات باعث تسهيل در امر انتقال اطلاعات مي شود، اما موضوع امنيت در تبادل اطلاعات همواره به عنوان يكي از اصول اساسي مطرح است.   هر چند فناوري اطلاعات و ارتباطات باعث تسهيل در امر انتقال اطلاعات مي شود، اما موضوع امنيت در تبادل اطلاعات همواره به عنوان يكي از اصول اساسي مطرح است. امنيت اطلاعات براي بخش مهمي از فعالان بخش فناوري اطلاعات تنها زماني به عنوان يك موضوع حاد مطرح مي شود كه مشكلي در سيستم به وجود آيد. در بيشتر مواقع اين مشكلات باعث ضربه اي سنگين بر سيستم و يا به اطلاعات موجود در آن مي شود. اينترنت همواره از جهت هاي گوناگون مورد نقد و ارزيابي قرار مي گيرد اما واقعيت اين است كه اين شبكه عظيم مانند هر اجتماع عادي انساني ديگر در معرض تهديدها و خطرها قرار دارد.
از نفوذ داده هاي مخرب گرفته تا تخريب داده هاي سالم و برهم زدن نظم شبكه همه و همه تنها به يك مورد بستگي دارد و آن بحث امنيت اطلاعات در محيط اينترنت است. امروزه امنيت اطلاعات در زمينه اينترنت از يك بحث حاشيه اي به يك بحث ضروري مبدل شده است. هر گونه خريد و فروش روي اينترنت و يا انتقال داده ها بايد تحت يك كنترل امنيتي صورت گيرد.
 اگر امنيت شبكه برقرار نباشد، مزيت هاي فراوان آن نيز به خوبي حاصل نخواهد شد و تجارت الكترونيك، خدمات به كاربران خاص، اطلاعات شخصي، اطلاعات عمومي و نشريات الكترونيك همه و همه در معرض دستكاري و سوء استفاده هاي مادي و معنوي قرار مي گيرد. هم چنين دستكاري اطلاعات - به عنوان زيربناي فكري ملت ها - توسط گروه هاي سازماندهي شده بين المللي، به نوعي مختل ساختن امنيت ملي و تهاجم عليه دولت ها و تهديدي ملي محسوب مي شود. در ايران كه بسياري از نرم افزارهاي پايه از قبيل سيستم عامل و نرم افزارهاي كاربردي و اينترنتي، از طريق واسطه ها و شركت هاي خارجي تهيه مي شود، بيم نفوذ از طريق راه هاي مخفي وجود دارد. هم اكنون نيز بانك ها و بسياري از نهادها و دستگاه هاي ديگر از طريق شبكه به فعاليت مي پردازند، به همين دليل جلوگيري از نفوذ عوامل مخرب در شبكه به صورت مسئله اي استراتژيك درآمده است كه نپرداختن به آن باعث ايراد خساراتي خواهد شد. تجربياتي نيز در همين زمينه وجود دارد كه اين موضوع را به طور كامل ثابت كرده است.
 ● هويت مجازي با وجود معرفي سرويس هاي متعدد روي شبكه، تاكنون مهم ترين سرويس از ميان سرويس هاي گوناگون اينترنت، سيستم پست الكترونيكي بوده است. بسياري از كاربران اينترنت از اين بخش بيشتر از ديگر امكانات فراهم آمده توسط اين شبكه جهاني استفاده مي كنند. امروزه، اقتصاد جهاني به پست الكترونيكي متكي شده است، بسياري از پيام هايي كه بين كاربران رد و بدل مي شود، حاوي يادداشت هاي شخصي است.
اگرچه اغلب پيام ها از متن ساده تشكيل شده است اما امكان پست الكترونيكي تمام انواع داده ها، مثل تصاوير، برنامه هاي رايانه اي و سندهاي صفحه گسترده نيز وجود دارد. با توجه به اين سرويس، اينترنت اجازه مي دهد،كه افرادي با يكديگر در تعامل و كار باشند و در واقع، فردي با فرد ديگري كه شايد هزاران كيلومتر از او دور است و هيچ وقت او را نديده است، مي تواند ارتباط برقرار كند. پست الكترونيكي امروزه در تجارت و بانك داري الكترونيكي هم كاربرد فراواني دارد و بسياري از تعيين هويت هاي مجازي امروزه از طريق پست الكترونيك صورت مي گيرد. در همين زمينه براي استفاده امن از پست الكترونيكي نكاتي وجود دارد. درك تفاوت هاي پست الكترونيكي با پست عادي و يا گفت وگوي تلفني كمي دشوار است ولي به كار بستن برخي نكات ساده مي تواند در بالا بردن امنيت هنگام به كارگيري اين سرويس مؤثر باشد كه مي توان به اين موارد اشاره كرد: بايد همواره تصور شود كه هيچ گونه اختفايي وجود ندارد. پيام هايي كه به دلايلي نبايد همه ببينند نبايد از اين طريق ارسال شود، بنابراين از ارسال نامه هاي بسيار خصوصي بايد احتراز شود. نبايد فرض شود كه پيام هاي حذف شده قابل بازيابي نيست.
چنان چه پيامي روز سه شنبه حذف شود، به احتمال در نسخه هاي پشتيبان كه شب يا روز قبل تهيه شده موجود است، در سيستم پستي ابزار مشابه كاغذ خردكن وجود ندارد. در متن هاي ارسالي بايد محتاط بود. اين طبيعت پست الكترونيكي است كه مردم پيام هاي دريافتي خود را بيشتر از پيام هاي ارسالي جدي مي گيرند. ضمن اين كه ارسال يادداشت سريع به هر جايي از جهان بسيار ساده است.
● ضرورت حفاظت براي افزايش امنيت تبادل اطلاعات از روش هاي متعددي استفاده مي شود كه رمز نگاري مهم ترين است. رمز نگاري از ديرباز به عنوان يك ضرورت براي حفاظت از اطلاعات خصوصي در مقابل دسترسي هاي غيرمجاز در تجارت، سياست و مسائل نظامي وجود داشته است. به طور مثال تلاش براي ارسال يك پيام سري بين ۲ هم پيمان به گونه اي كه حتي اگر توسط دشمن دريافت شود قابل درك نباشد، در رم قديم نيز ديده شده است. در سال هاي اخير رمز نگاري و تحليل رمز از يك هنر فراتر رفته و به يك علم مستقل تبديل شده است. در واقع به عنوان يك وسيله عملي براي ارسال اطلاعات محرمانه روي كانال هاي غير امن همانند تلفن، ماكروويو و ماهواره ها شناخته مي شود.
پيشرفت علم رمز نگاري موجب به وجود آمدن روش هاي تحليل مختلفي شده است به گونه اي كه به طور متناوب سيستم هاي رمز مختلف شكسته شده است. معروف ترين نمونه اين نوع سيستم ها ماشين «انيگما» بود. انيگما ماشين رمزگذار و كدگذار و كدكننده اي بود كه حزب نازي در زمان جنگ جهاني دوم از آن براي ارسال پيام از طريق راديو به ديگر نقاط استفاده مي كرد. رمز نگاري كه به طور عمده به ۲ بخش رمز نگاري متقارن يا رمز نگاري با كليد خصوصي و رمز نگاري نامتقارن يا رمز نگاري با كليد عمومي صورت مي گيرد، تلاش مي كند براي ايجاد يك ارتباط سري از طريق سيستم هاي مخابراتي و شبكه هاي رايانه اي مباحث مربوط به محرمانه بودن و احراز هويت را تحت فرض هاي مشخص به درستي اثبات كند.
نرم افزارها از جمله مهم ترين اصول ارتقا يا كاهش سطح امنيت در يك شبكه به حساب مي آيد. بر اين اساس بايد براي نظارت فني در آن ها قوانين و اجبارهايي را در نظر گرفت و بايد به منظور پشتيباني از سيستم كنترل دستيابي ابزارهاي لازم را در اختيار داشت. سيستم هاي نرم افزاري بايد داراي كنترل هاي داخلي براي شناسايي كاربران، نمايش استفاده هاي غيرمجاز و محدود كردن حدود اختيار كاربران باشد. چنان چه فردي چند بار سعي كند به سيستم وارد شود و رمز نادرستي را وارد كند بايد سيستم به طور خودكار غير فعال و در موارد پيچيده تر برنامه ها به منظور دسترسي نداشتن به اطلاعات به صورت خود مخرب طراحي شود. چنان چه از سيستمي در يك مدت زمان مشخص و تعيين شده استفاده نشود، پايانه ها يا رايانه هاي مربوطه بايد از حالت فعال خارج شود و سيستم، براي استفاده مجدد نياز به وارد شدن مجدد و دادن رمز ورود داشته باشد. رمز نگاري روش مناسبي براي حفاظت داده هاي مهم از ديد همگان است.
 گنجانيدن دستورات كنترلي داخلي مي تواند كمك موثري در اعمال رويه هاي شناسايي، دسترسي، استفاده و انتقال داده ها به حساب آيد و رد و اثر عمليات انجام شده را در اختيار مسئولان بگذارد. اعمال برخي روتين هاي ويرايشي از بروز اشتباه ها و خرابي داده ها تا حد بسياري جلوگيري مي كند و در مواقعي، گرفتن گزارش هايي كه نشانگر داده هايي است كه خارج از محدوده معمول است، مي تواند كمك بسياري در يافتن خطاها يا شناسايي افرادي باشد كه قصد خراب كاري يا اعمال خلاف را دارند، اين گونه كنترل ها ميزان اطمينان به داده ها و اطلاعات جمع آوري شده را نيز بالا مي برد. تدوين برنامه هاي لازم براي تهيه نسخه هاي پشتيباني از داده ها بسيار ضروري است. تعيين برنامه زمان بندي براي اجراي اين برنامه ها نيز از اهميت بالايي برخوردار است. كنترل كيفيت نرم افزار مي تواند از بسياري از خطاهاي نرم افزاري كه موجب فقدان داده يا خرابي آن ها مي شود، جلوگيري كند. گنجانيدن پيام هاي خطاي مناسب براي رديابي اشكالات نرم افزاري سبب تسريع در امر اشكال يابي و رفع اشكالات احتمالي مي شود. نرم افزارها در مقابل ويروس هاي رايانه اي و برنامه هاي مخرب بايد محافظت شود. روزانه راه كارهاي مختلف امنيتي در سطوح مختلف براي كاربري و استفاده از اينترنت براي انتقال داده ها ارائه مي شود با وجود اين همواره شاهد بروز ضعف ها و نقاط آسيب پذير متعددي در سايت ها و بانك هاي اطلاعاتي هستيم. در واقع به نظر مي رسد در هر ۲ سطح كاربري و استفاده هاي حرفه اي از اين شبكه دچار مشكلات فراوان امنيتي هستيم.
يكي از مهم ترين راهكارهايي كه در اين زمينه همواره گوشزد مي شود استقرار نظام جامعي براي افزايش سطح امنيت چه در سطوح كاربري و چه در سطوح تجاري و دولتي است. در سطوح كاربري استفاده از نرم افزارهاي ديوار آتش يا فايروال و هم چنين آشنا كردن كاربران با خطرهاي كاهش امنيت اينترنتي از جمله مهم ترين راهكارهاست. يك سيستم ناامن باعث سرقت هويت و اطلاعات مهم افراد از روي رايانه ها مي شود و اين سيستم ناامن اگر در يك شركت و يا سازمان وجود داشته باشد، مي تواند امنيت اطلاعات هزاران نفر را با خطر مواجه كند. در سطح كلان استفاده از طرح هاي ارتقاي امنيت شامل خريداري و نصب سيستم هاي پيشرفته كنترل امنيت، تبادل اطلاعات و هم چنين بهره گيري از مشاوره هاي امنيتي يك امر ناگزير است. نبود استاندارد امنيتي براي شبكه هاي رايانه اي يكي از مهم ترين دلايل نفوذ به اين سيستم و حذف اطلاعات ضروري است. اين موضوع به خصوص در سال هاي گذشته در بخش هاي خصوصي و دولتي ما به شكل گسترده اي ديده شده است. به عنوان مثال كاربران ايراني بارها با خبر حمله و دستكاري گسترده به صدها سايت دولتي و خصوصي ايران به طور يك جا روبه رو شده اند.
در واقع نگهداري هزاران سايت دولتي و خصوصي روي يك سرور امنيت آنان را به گونه اي به خطر انداخته است كه با يك حمله اينترنتي در عمل همه اين سايت ها در معرض خطر قرار مي گيرد. استفاده نكردن از نرم افزارهاي به روز شده امنيتي نيز مشكل ديگر امنيتي در ۲ عرصه كاربري عادي و كلان اينترنت در ايران است. كاربران ايراني عادت به خريد يك نرم افزار ۴۰۰ دلاري ضد ويروس و يا فايروال ندارند و به طور معمول آن را با ۱۰۰۰ تومان از بازارهاي نرم افزار تهيه مي كنند. به همين دليل در بسياري اوقات اين نرم افزارها به جاي آن كه به افزايش امنيت سيستم كمكي كند باعث بروز مشكلات متعدد امنيتي و فني ديگر در سيستم مي شود. چند سال قبل در حمله اي به چندين سرور اصلي اينترنت ترافيك اينترنت به شكل بسيار زيادي افزايش پيدا كرد و حتي احتمال قطع شدن اينترنت نيز پيش آمد. اين در حالي است كه در بسياري از كشورهاي ديگر سالانه ميلياردها دلار براي ارتقاي امنيت سيستم هاي رايانه اي هزينه مي كنند.  
منبع : سايت خبري آفتاب