Як знайти + Зупиніть SQL-ін'єкцій
Подано в:. NET, класичний ASP, хостинг, IIS 6.0, Програмування 101, SQL Server
Там дуже багато матеріалу там з приводу нападів SQL ін'єкцій, але там не так багато, що допоможе вам зрозуміти, як зупинити ці напади відбуваються.
По-перше, давайте поговоримо про те, що SQL-ін'єкції Напад на самом деле. Деякі люди думають, що це вірус роду, тобто "всередині вашого сайту." Не той випадок. Ці бота нападів з боку інших заражених вірусами комп'ютерів. Вони просто використовують грубий підхід сканування URL-адрес, які беруть POST / GET входи і спробі відправити свої дані на них.
Отже, як ви відстежуєте ці вниз і зупинити їх? Для веб-сайтів на харчування від Microsoft IIS, тут наші пропозиції:
- Подивіться на ваші журнали IIS
Спробуйте шукати по слову "заявити" або "Виконати." Якщо ви постраждали від нападу, то вони будуть, швидше за все, з'являються у вашому IIS журналах - принаймні, що будь-яка атака була зроблена спроба використання "GET" посад. Якщо Ви знайдете будь-які випадки "заявити" або "Виконати" ці сторінки, щоб почати с. - Використання централізованої обробки з'єднань з базою даних
Прості, зробити централізовану файл (наприклад connection.asp, якщо ви використовуєте ASP ), Що обробляє всі ваші доступу БД. Таким чином, простіше, щоб переконатися, що ви SQL кодування сторінок. Ви можете легко пошукові запити "заявити" і "Виконати" і припинити напади мертвим у своїй композиції. - Здійснювати сайт широкий рішення
Якщо ви використовуєте свій власний сервер, тому ми рекомендуємо ISAPI_Rewrite від HeliconTech (http://www.helicontech.com/isapi_rewrite). Це фільтра ISAPI, що дозволяє робити найрізноманітніші речі, в тому числі сканування URL даних. Це зупинить 99% атак без зміни коду на вашому сайті! \ - Ніколи не використовуйте "SA" в якості бази даних користувачів, створити користувача для бази даних ви працюєте з, а потім видалити привілеї для читання майстер DBO. Це дозволяє зловмисникові з "нюхають" Ваша структура бази даних, однак, ці напади розвивалися так, щоб продезінфікувати збережені процедури, засновані напади відбуваються не дивлячись на ці види забезпечення на місце. Див http://www.ngssoftware.com/papers/more_advanced_sql_injection.pdf Більш докладну інформацію про цю та інші ідей для запобігання SQL-ін'єкцій.
Якщо ви завжди були подряпини голови цікаво, де витік в програмування (або взяли над проектом від кого-небудь), то найкращий спосіб визначити, через якій сторінці напад сталося те, перевіряючи IIS журнали.
Є багато скриптів, доступних для очищення, але кращі підказки резервного щогодини, і слідувати кращою практиці (деякі з яких я виділив тут). Удачи
