Tremate tremate gli hacker sono arrivati ...ovvero la SQL INJECTION

Carissimi lettori,



E' fine luglio e con questo articolo la redazione si prende un breve periodo di pausa per ricaricare le energie.

Parafrasando il titolo originale, oggi parliamo di un argomento un po diverso da solito. Approcciamo il mondo misterioso e sotterraneo degli hacker facendovi vedere una delle tecniche usate per accedere a fonti dati a cui non si avrebbe il diritto ad accedere.

Però mi raccomando! lo scrivo in maiuscolo "TRY ONLY AT HOME"!

Non provate mai ad accedere a dati di cui non avete l'autorizzazione per accedere: Per prima cosa quasi certamente vi scoprirebbero inoltre, essendo ovviamente illegale si richiano sanzioni legali.

LA SQL INJECTION


La SQL Injection è una tecnica che consiste nell'introdurre codice malevolo all'interno delle stringhe SQL. E' una delle tecniche di hacking web più comuni.

Pensate ad esempio al momento in cui un sito WEB richiede le credenziali per accedere.
Tipicamente sarà presente un campo in input dove viene richiesto di digitare il proprio utente.

Il valore che avete immesso verrà confrontato con l'elenco dei codici utente registrati sul sito.
Lato SQL verrà eseguita una stringa SQL fatta ad esempio così:

       
SELECT ID FROM UTENTI WHERE UTENTE= " + UTENTE

Se la Query non ritorna nulla non si avrà accesso al sito.

Ma se invece di scrivere il mio codice utente scrivessi qualcosa di diverso?
Ad esempio:

       
LUCA OR ID=ID

Guardate la stringa SQL eseguita.. OPS!

       
SELECT ID FROM UTENTI WHERE UTENTE='LUCA' OR ID=ID


La Query ritornerà sempre una riga e quindi si avrà accesso al sito.


Volendo si potrebbe anche essere più invasivi.

Se al posto di LUCA OR ID=ID imputassimo invece: LUCA OR ID=ID; DROP TABLE UTENTI.?

Lascio immaginare cosa accadrebbe ...


Va detto che, normalmente, i siti web commerciali adottano delle protezioni che impediscono un così facile accesso.

Come?

Bhe, prima di tutto, l'utente che esegue la Query di login non ha avrà i diritti per eseguire istruzioni SQL di tipo DROP TABLE, ALTER TABLE, etc etc.

Poi, come meccanismo di protezione, viene sfruttata la parametrizzazione delle Query.
Questo è infatti il trucco base!

Pensate ad una Stringa SQL così:

       
SELECT ID FROM UTENTI WHERE (UTENTE=:UTENTE) AND (PWD=:PWD)

Se ora nel parametro scrivete un tipo di hack visto sopra, semplicemente la Query andrebbe in errore!


Bene, per oggi è tutto!

Ci rivediamo presto!

Luca Biondi @ SQLServerPerformance blog!








Next post: SQL SERVER Express VS. SQL SERVER Standard! (perchè non scegliere la versione Express)

Previous post: Hei! chi è stato a cancellare le righe dalla mia tabella?

Comments

Post a Comment

I Post più popolari

SQL Server, execution plan and the lazy spool (clearly explained)

Image
Hi Guys, Welcome back! In one of the last posts we talked about Table Spool . We had explained what Spool are for by telling the somewhat curious story of the halloween problem . Here we specifically talked about a type of spool called Eager Spool   You can look to the execution plan below where the eager Spool is used to avoid the halloween problem in classic query of the "salary increase".. i suggest Well, if the story of the eager spool intrigued you, today instead we will speak about another type of Spool, the Lazy Spool . The Lazy spool Let's take a small step back. So, what is a Spool operation?  As we have already understood a spool operation is simply a temporary storage of data . Data are read from a source table and stored inside a worktable in the Tempdb database . While an Eager Spool is used to prevent the Halloween problem, the Lazy Spool is instead used to store data that will later be needed again when running a query . So, when a Lazy spool is used?  ...
Read more

SQL Server, datetime vs. datetime2

Image
Hi guys, This time, in this post we will speak about datetime and datetime2 datatypes. We will talk about the pros and cons. We will talk about all the differences between the two types of data. Write me in the comments which type of data do you prefer between the two. Enjoy the reading!     Datetime Vs. Datetime2 First of all, it must be said that the datatype datetime is certainly the best known native format for storing a date in SQL Server. However, Microsoft has also been introducing a new type of data for many years now, also used to manage dates. It is in fact from SQL server 2008 that it is present in datetime2 data type. This "new" type of data was born primarily to have higher accuracy . Let's in fact talk about ... precision ! Datetime Certainly the datetime data type is not very precise and certainly there are many cases in which its precision is simply not sufficient. Let's see it with an example. Open the SQL Management studio (SSMS) and write the fo...
Read more

La clausola NOLOCK. Approfondiamo e facciamo chiarezza!

Image
Ehi ragazzi! La domanda è di quelle importanti! Siete pronti per scoprire tutto ma proprio tutto sulla clausola NOLOCK?   Se la riposta è si, allora seguitemi! Oggi ne spiegheremo il funzionamento in maniera approfondita. Faremo una introduzione al concetto di tipi di LOCK Ed infine vedremo come mai una SELECT ne può bloccare un'altra. Non vi nascondo che il motivo di questo articolo è fare chiarezza. Su questo argomento si sentono spesso affermazioni “curiose” ma tra le tante questa è la prima: “ uso la SELECT con l’opzione WITH(LOCK) così non blocco le altre tabelle ”.   Ma, è proprio vero quanto affermato? Beh oggi facciamo il punto!   Buona lettura!     La clausola NOLOCK Diciamo subito per iniziare che cos’è la NOLOCK. NOLOCK è il nome di una clausola che è possibile specificare all’interno di uno statement di tipo SELECT utilizzando la seguente sintassi: SELECT * FROM TABELLA WITH (NOLOCK) Si noti che non possiamo ...
Read more