Enjeksiyonun kök nedeni

Enjeksiyonun kök nedeni dersinde neler var

Web Uygulama Güvenliği yolunun 9 dakikalık dersi. Kazanılan puan: 50 XP.

Enjeksiyon, uygulamanın kullanıcıdan gelen veriyi bir yorumlayıcıya komut gibi geçirmesinden doğar.

Bu derste SQL, işletim sistemi komutu, şablon ve NoSQL ailesini aynı kök nedene bağlar; log ve hata izinden ilk belirtiyi tanırsın.

Bu derste sınanan sorular

• Her örneği, veri ile komutun karıştığı yorumlayıcıya göre ayır. Ayırt edici soru şudur: taşan girdi hangi yorumlayıcıya gidiyor? WHERE ve ORDER BY veritabanı motorunun söz dizimidir. && ve noktalı virgül ise kabuğun komut ayırıcılarıdır.
• Veritabanı sürücüsünün ürettiği bir söz dizimi hatası, enjeksiyon denemesinin tek olası kanıtıdır. Söz dizimi hatası güçlü bir belirtidir ama tek kanıt değildir. Kör enjeksiyonda uygulama hiç hata basmaz, yalnız davranışı ya da yanıt süresi değişir; savunmacı bu farkı da izlemelidir.
• Uygulama kaydında enjeksiyon denemesine ait satırları işaretle. 500 hatası açık bir belirtidir. Ardından gelen iki istek, koşulu bilerek önce yanlış sonra doğru kurup yanıt farkını ölçen kör enjeksiyon denemesidir. Sıradan bir destek mesajı bu örüntüye uymaz.
• Bir geliştirici, girdideki tek tırnak ve noktalı virgülü siliyor ve enjeksiyonun kapandığını düşünüyor. Bu yaklaşımın asıl zayıflığı nedir? Kara liste, akla gelen karakterleri kapatır. Saldırgan aynı komutu URL kodlaması, onaltılık gösterim ya da farklı bir söz dizimiyle yeniden kurar. Kalıcı çözüm veriyi koddan tamamen ayırmaktır.
• Rapor motoru, kullanıcının seçtiği tarih aralığını doğrudan bir kabuk ifadesine ekliyor. Veri ile ____ aynı dizgede birleşince yorumlayıcı ikisini ayıramaz. Kök neden hep aynıdır: veri ile çalıştırılacak komut aynı dizgede birleşince yorumlayıcı ikisini ayıramaz. Bu örnekte yorumlayıcı işletim sistemi kabuğudur, ama zayıflığın kökü SQL ve şablon motorundakiyle özdeştir.