SQL Execution

Wikipedia, a proposito di SQL Injection, recita:

La SQL injection è una tecnica dell'hacking mirata a colpire le applicazioni web che si appoggiano su un database di tipo SQL. Questo exploit sfrutta l'inefficienza dei controlli sui dati ricevuti in input ed inserisce codice maligno all'interno di una query SQL. Le conseguenze prodotte sono imprevedibili per il programmatore: l'Sql Injection permette al malintezionato di autenticarsi con ampi privilegi in aree protette del sito (ovviamente, anche senza essere in possesso delle credenziali d'accesso) e di visualizzare e/o alterare dati sensibili.

Insomma per ottenere un attacco basato su una SQL Injection, il sito vulnerabile deve prendere in input un parametro malformato e trasformarlo accidentalmente in una query SQL.

Ma se il sito come parametro prende direttamente una query? Si ottiene la nuova frontiera delle SQL Injection: la SQL Execution!

Enjoy!

Technorati Tags:

Potrebbero interessarti anche:
Commenti (3):
1. gino
martedì 15 aprile 2008 alle 10:21 PM - unknown unknown unknown
   

se il sito lascia inserire query a mano è davvero un genio quello che ha scritto il sito!!!

ps tra l'altro l'uso di linq in applicazioni web c# e vb dovrebbe togliere molti sql injection visto che non sono più query create dal programmatore ma decise dal motore di linq no?

   
2. Paperino
mercoledì 16 aprile 2008 alle 1:46 AM - unknown unknown unknown
   

L'uso di mapper come LINQ, se fatti bene, elimina totalmente la possibilità di SQL injection.

   
3. FDG
venerdì 18 aprile 2008 alle 3:11 AM - unknown unknown unknown
   

Dev'essere un framework deboluccio quello che consente con un parametro di aggiungere codice sql. Ad esempio, non fa escaping delle stringhe e compone le query concatenando stringhe nel codice e parametri. Ma, parlo delle mie conoscenze e quindi del jdbc, senza citare ejb3, hibernate o altro, basta usare i '?' in luogo dei parametri nella query e poi i metodi adatti per specificare con che valori sostituirli. A meno che il driver jdbc sia scritto male, non ci sono problemi.

Poi, se qualcuno si mette a usare come parametri pure le query... allora tanto vale mettere il cartello "entrata libera"!

   
Lascia un commento:
Commento: (clicca su questo link per gli smiley supportati; regole di ingaggio per i commenti)
(opzionale, per il Gravatar)