緩解SQL注入威脅的三種方法
即使是大型科技公司，依然會被軟件和Web漏洞所困擾，其中SQL 注入是常見也是最危險的漏洞之一。在MITRE近日發(fā)布的過去兩年中最常見和最危險的25個軟件漏洞列表(見下圖)中，SQL注入漏洞的排名高居第六：
以下是降低SQL注入漏洞風(fēng)險的三大方法：
零信任方法
首先確?？蛻舳溯斎腧炞C不是唯一的防線。這種驗證是改善用戶體驗的好工具，但它不能作為一種安全機制。因為，通過更改瀏覽器中加載的JavaScript代碼，或使用導(dǎo)致SQL注入的參數(shù)對客戶端-服務(wù)器架構(gòu)中的后端進行基本HTTP調(diào)用，可以輕松刪除客戶端驗證。
所以開發(fā)人員應(yīng)該在服務(wù)器端進行驗證，且盡可能靠近源;開發(fā)人員還應(yīng)該仔細(xì)考慮數(shù)據(jù)庫用戶權(quán)限，所有SQL注入攻擊都是有害的，但有些攻擊比其他攻擊更危險：訪問用戶信息是一回事，更改或刪除信息是另一回事，應(yīng)考慮特定應(yīng)用程序是否真的有必要能夠截斷或刪除數(shù)據(jù)。
除了不允許每個應(yīng)用程序自由支配一個數(shù)據(jù)庫之外，一個應(yīng)用程序只有一個數(shù)據(jù)庫用戶也是不明智的。應(yīng)創(chuàng)建多個數(shù)據(jù)庫用戶，并將其連接到特定的應(yīng)用程序中進行角色分工，這可以防止攻擊者快速接管整個數(shù)據(jù)庫。
參數(shù)是最好的防御手段
提升軟件安全性的一個關(guān)鍵方法是使用預(yù)設(shè)語句和查詢參數(shù)化。預(yù)設(shè)語句能夠限制可輸入的SQL語句：開發(fā)人員創(chuàng)建一個帶有占位符的基本查詢，然后用戶給定的參數(shù)可以安全地附加到這些占位符上。在使用預(yù)設(shè)語句和參數(shù)化查詢時，數(shù)據(jù)庫會首先根據(jù)帶有占位符的查詢字符串構(gòu)建查詢執(zhí)行計劃，然后將(不可信的)參數(shù)發(fā)送到數(shù)據(jù)庫。
使用存儲過程時，參數(shù)化也很重要。就像在應(yīng)用程序中創(chuàng)建的任何SQL查詢一樣，存儲過程也可能被惡意注入。因此，與SQL查詢一樣，開發(fā)人員應(yīng)該在他們的存儲過程中參數(shù)化查詢，而不是連接參數(shù)，以防止注入。
但是，在某些情況下，預(yù)設(shè)語句不可用。比如如果某種語言不支持預(yù)設(shè)語句，或者較舊的數(shù)據(jù)庫不允許開發(fā)人員將用戶輸入作為參數(shù)提供，此時輸入驗證是一個可接受的替代方案。但團隊?wèi)?yīng)該確保，輸入驗證依賴的是一個使用維護良好的庫或創(chuàng)建一個規(guī)則來描述所有允許的模式，例如，使用正則表達(dá)式。當(dāng)然，即使預(yù)設(shè)語句可用，輸入驗證也是必須的。
多層安全和嚴(yán)格檢查
除了參數(shù)化和輸入驗證之外，開發(fā)人員還應(yīng)考慮使用對象關(guān)系映射 ( ORM ) 層來防止SQL注入。將數(shù)據(jù)從數(shù)據(jù)庫轉(zhuǎn)換為對象，反之亦然，從而減少了顯式SQL查詢和SQL注入攻擊的風(fēng)險。但是需要注意的是，如果使用錯誤、過時的Sequelize或Hibernate版本，ORM庫中仍然會產(chǎn)生漏洞，因此開發(fā)人員必須保持警惕。
最終，無論部署什么安全策略，都必須有一個嚴(yán)格的審查系統(tǒng)來審查代碼并標(biāo)記所有漏洞。代碼審查和結(jié)對編程確實允許這樣做，但手動審查過程總是存在誤差。為了獲得最高級別的安全性，開發(fā)人員應(yīng)該尋找專門設(shè)計的掃描工具來自動檢查SQL注入漏洞并提醒他們代碼中的所有弱點。
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
