Kif issib + iwaqqfu attakki injezzjoni SQL

Hemm ħafna ta 'għalf hemmhekk dwar attakki injezzjoni SQL, imma hemm Ma tantx li tgħinek figura kif twaqqaf dawn l-attakki mill-jseħħu.

Ewwelnett, ejja nitkellmu dwar dak li attakk injezzjoni SQL hija verament. Xi nies jaħsbu li l-virus ta 'tip, li huwa "ġewwa sit tiegħek." Mhux il-każ. Dawn huma attakki bot minn kompjuters virus oħra infettati. Huma sempliċement jużaw approċċ forza brutali ta 'l-iskannjar URLs li jieħdu POST / IKOLLOK inputs u l-attentat biex jibagħtu data tagħhom stess lilhom.

Allura, kif taħseb li dawn il-binarji u li jwaqqaf il minnhom? Għal siti web powered by Microsoft IIS, hawnhekk huma suġġerimenti tagħna:

1. Ħares lejn zkuk IIS tiegħek
   Ipprova tfittxija għall-kelma "NIDDIKJARA" jew "iwettaq." Jekk inti ħadthom ġiet milquta minn attakk, dawn se jiżdiedu b'aktar mid x'aktarx jidhru fi zkuk IIS tiegħek - mill-inqas għal kwalunkwe attakk li kien ippruvat li jużaw "IKOLLOK" postijiet. Jekk inti ssib xi każijiet ta ' "NIDDIKJARA" jew "iwettaq" dawn huma l-paġni li jibdew bihom.
2. Użu immaniġġjar ċentralizzat konnessjoni database
   Sempliċi, jagħmel fajl ċentralizzat (connection.asp e.ż. jekk inti qed tuża ASP ) Li l-mankijiet kollha ta 'aċċess DB tiegħek. Dan il-mod, huwa aktar faċli li tagħmel ċert li int SQL petunja paġni tiegħek. Tista 'tfittex faċilment mistoqsijiet għall-"NIDDIKJARA" u "tesegwixxi" u jwaqqfu l-attakki mejta fl-binarji tagħhom.
3. Timplimenta soluzzjoni sit wiesgħa
   Jekk inti taħdem server tiegħek, aħna jirrakkomanda ħafna ISAPI_Rewrite mill HeliconTech (http://www.helicontech.com/isapi_rewrite). Dan huwa filtru ISAPI li jippermetti li inti tagħmel varjetà ta 'affarijiet, inkluż skan data URL. Dan se stop 99% ta 'attakki mingħajr ma jinbidlu l-kodiċi KWALUNKWE fuq is-sit tiegħek! \
4. Qatt tuża "sa" bħala utent database tiegħek, joħolqu utent għad-database qed jaħdmu minn u mbagħad neħħi l-privileġġi li jaqra l-dbo kaptan. Dan jimpedixxi l-attakkant minn "xamm" istruttura tad-database tiegħek, madankollu, dawn l-attakki evolvew b'mod li attakki sanitizzati proċedura maħżuna bbażata jiġri anke ma 'dawn it-tipi ta' sigurtà fil-post. Ara http://www.ngssoftware.com/papers/more_advanced_sql_injection.pdf għal aktar informazzjoni dwar dan u ideat oħra fil-prevenzjoni attakki injezzjoni SQL.

Jekk inti stajt qatt ġiet grif ras tiegħek mintix meta t-tnixxija fl-ipprogrammar tiegħek huwa (jew ħadu proġett minn xi ħadd ieħor) allura l-aħjar mod biex jistabbilixxu permezz ta 'paġna li l-attakk ġara huwa billi jikkontrollaw il-IIS zkuk.

Hemm ħafna skripts disponibbli biex tnaddaf, iżda l-ponta l-aħjar huwa li kull siegħa backup, u sabiex isegwi l-aħjar prassi (li ftit minnhom I enfasizzati hawnhekk). Nawguralek