SQL Injection Attack

Friday, 28 May 2010 18:46

  SQL Injection ဆိုတာ ဘာလဲ မေျပာခင္ ဒီ youtube movie ေလးကို အရင္ၾကည့္လိုက္ၾကရေအာင္။ ကြၽန္ေတာ္

  တစ္ခုၾကိဳေျပာခ်င္တာက သူခိုးလမ္းျပလုပ္တာ မဟုတ္ပါဘူး။ ကြၽန္ေတာ္တို႔ ဒီလိုမ်ိဳး attack ကို awareness ရွိျပီး 

  ၾကိဳတင္ကာကြယ္ႏိုင္ေစဖို႔ ရည္ရြယ္ျပီး ေရးလိုက္ ပါတယ္။ 

 

ကြၽန္ေတာ္တို႔ database application ေရးတဲ့ အခါ မပါမျဖစ္ ေရးရတဲ့ SQL Query ေတြကို အနည္းငယ္ ေျပာင္းလဲလိုက္ျပီး attack လုပ္တာ

ျဖစ္ပါတယ္။ SQL injection attack လုပ္ဖို႔ အတြက္ DBA တစ္ေယာက္လိုမ်ိဳး database သေဘာ တရားေတြ နားလည္ေနစရာ မလိုပဲ query

မွာ ရွိေနတဲ့ condition ေတြကို ေျပာင္းသြားဖို႔ ေလာက္ကို ေရးႏိုင္ရင္ အလုပ္ျဖစ္ပါတယ္။ အထက္မွာ ျပခဲ့တဲ့ movie ေလးအတိုင္းေပါ့။

ဥပမာ ေလးနဲ႔ ၾကည့္ရေအာင္

SELECT fieldlist
FROM table
WHERE field = 'zack@gmail.com';

ဒါက ကြၽန္ေတာ္တို႔ စစ္ေနၾက where clause ပုံစံပါ zack@gmail.com နဲ႔ တူမွ အလုပ္လုပ္မွာပါ။ အဲဒါကို ဒါမ်ိဳးေလး ေျပာင္းၾကည့္လိုက္ ၾကရေအာင္

SELECT fieldlist
FROM table
WHERE field = 'anything' OR 'x'='x';

သေဘာက ေနာက္ကေန OR ကိုထည့္ လိုက္ျပီး အျမဲမွန္ ေနတဲ့ condition တခုကို ထည့္ေပးလိုက္တာ ျဖစ္ပါတယ္။ အဲဒီလိုလုပ္လိုက္ေတာ့

ေရွ႕က condition က ျဖစ္ခ်င္တာ ျဖစ္ေပမယ့္ ေနာက္က OR ေၾကာင့္ အလုပ္လုပ္ပါမယ္။

SELECT * FROM user WHERE user_name = 'zack'
SELECT * FROM user WHERE user_name = 'anything' OR '1'='1';

ဒုတိယ query မွာ OR ေၾကာင့္ result ေတြထြက္ လာပါလိမ့္မယ္။

ဒီထက္ပိုျပီး ရက္စက္ခ်င္ တယ္ဆိုရင္ ေနာက္ကေန delete, drop စတဲ့ query ေတြကို ထည့္ေပးလိုက္လို႕ ရပါတယ္။ ဒီ example ကို

ၾကည့္လိုက္ရေအာင္။

SELECT email, passwd, login_id, full_name FROM members
WHERE email = 'x';
DELETE from members;

အဲလို႕ေရးလိုက္ရင္ ေရွ႕က query ကျဖစ္ခ်င္တာ ျဖစ္ေနလဲ ေနာက္က delete query run သြားပါမယ္။ အဲဒါဆိုရင္ေတာ့ data ေတြ ကုန္ျပီသာ

မွတ္ေပေတာ့။ကြၽန္ေတာ္ ကိုယ္တိုင္ အဲလိုမ်ိဳး SQL Injection Attack လုပ္တာကို ခံခဲ့ရဘူးပါတယ္။ ရုံးက application အေဟာင္းေတြက

SQL Injection ေတြကို ေပါက္ေနပါတယ္။ လုပ္တဲ့ ေကာင္ကလဲ delete ကိုခ်သြားတာ ကုန္ေရာပဲဗ်ာ။ကဲ ဒီေတာ့ အနာသိရင္ ေဆးရွိပါတယ္။

How to prevent SQL Injection?

PHP မွာ SQL Injection ကိုကာဖို႔ mysql_real_escape_string ဆိုတဲ့ function ေလးရွိတယ္။ အဲဒီ function ကေန \ ေလးေတြ auto ေပါင္းထည့္ ေပးသြားပါမယ္။ ဒီလိုေလးေတြ ေျပာင္းသြားပါမယ္။

SELECT * FROM customers WHERE username = '\' OR 1\''
SELECT * FROM customers WHERE username = '\'; DELETE FROM customers WHERE 1 or username = \''

mysql_real_escape_string ကိုသုံးျပီး SQL Injection Attack ကိုကာကြယ္ႏိုင္ဖို႔ ဒီ Post ေလးကို ေရးလိုက္ပါတယ္။ အသုံးမ်ားေသာ SQL Injection character မ်ား

 

SQL Injection Input character

Input character	Meaning in Transact-SQL
;	Query delimiter.
'	Character data string delimiter.
--	Comment delimiter.
/* ... */	Comment delimiters. Text between /* and */ is not evaluated by the server.

< Prev		Next >