SQL injection קיים כבר מסוף שנות ה-90, ועדיין נחשב לאחת משיטות התקיפה הנפוצות ביותר על אתרים כיום. הסיבה לכך אינה שזה איזה טריק חדש ומתוחכם. הסיבה היא שהרבה מאוד אפליקציות עדיין משאירות את הדלת פתוחה. חומת אש לאפליקציות ווב היא אחד הכלים היעילים ביותר לסגור את הדלת הזו לפני שתוקף בכלל מגיע למסד הנתונים שלך.
הבה נפרק איך SQL injection עובד בפועל, מדוע הוא מסוכן כל כך, וכיצד בדיוק חומת אש לאפליקציות ווב תופסת אותו בזמן אמת.
מה SQL Injection עושה בפועל
SQL injection קורה כאשר תוקף מחדיר פקודות מסד נתונים זדוניות לתוך שדה טופס, פרמטר ב-URL, או בקשת API. אם האפליקציה שלך לא מטהרת כמו שצריך את הקלט הזה, הקוד הזדוני מועבר ישירות למסד הנתונים כאילו היה שאילתה לגיטימית.
הנה דוגמה קלאסית. תארו לעצמכם טופס התחברות שבונה שאילתה כזו מתחת למכסה המנוע:
SELECT * FROM users WHERE username = 'input' AND password = 'input'
אם תוקף מקליד ' OR '1'='1 בשדה שם המשתמש במקום שם משתמש אמיתי, השאילתה הופכת למשהו שתמיד נכון. תלוי איך הקוד נכתב, זה יכול לאפשר לו להתחבר בלי סיסמה, או גרוע מכך, לשלוף את כל טבלת המשתמשים.
מדוע זה מסוכן כל כך
SQL injection לא חושף רק רשומה אחת. תקיפה מוצלחת יכולה:
- לחלץ מסדי נתונים שלמים של לקוחות, כולל סיסמאות ופרטי תשלום
- לשנות או למחוק מידע, כולל מחירים, הזמנות או הרשאות משתמשים
- להעניק לתוקף גישת ניהול לאפליקציה שלך
- במקרים מסוימים, לאפשר לתוקף להריץ פקודות על השרת עצמו
SQL injection נמצא בראש רשימת OWASP Top 10 של סיכוני אבטחה לאפליקציות ווב, ובצדק. זה זול לניסוי, קל לאוטומציה, והרסני כשזה מצליח.
איך חומת אש לאפליקציות ווב תופסת את זה ראשונה
חומת אש לאפליקציות ווב יושבת בין התעבורה הנכנסת לבין האפליקציה שלך, ובודקת כל בקשה לפני שהיא מגיעה לקוד שלך. תחשבו על זה כעל נקודת בידוק שקוראת את התוכן של כל שליחת טופס, כל URL וכל header, ומחפשת דפוסים שלא מתאימים.
התאמת דפוסים וחתימות
רוב ניסיונות ה-SQL injection עוקבים אחרי דפוסים מוכרים. דברים כמו סימני גרש בלתי צפויים, מילות מפתח של SQL כמו UNION, SELECT או DROP המופיעות במקום שלא צריך, או תחביר הערות המשמש לקטוע שאילתה באמצע. חומת אש לאפליקציות ווב מחזיקה מאגר של חתימות כאלה ומסמנת או חוסמת בקשות שמתאימות להן, לרוב על בסיס סטים של חוקים כמו אלה שמתוחזקים בפרויקט OWASP Core Rule Set.
אימות קלט בקצה
מעבר להתאמה למחרוזות תקיפה מוכרות, חומת אש טובה לאפליקציות ווב אוכפת חוקים לגבי מה שדה מסוים צריך להכיל. שדה מספר טלפון לא צריך לקבל גרשיים או נקודה-פסיק. כשחומת האש מזהה קלט שחורג מהצורה הצפויה של הבקשה, היא יכולה לדחות אותו לפני שהלוגיקה של האפליקציה שלך בכלל רצה.
זיהוי מבוסס התנהגות וקצב
תוקפים לעיתים רחוקות מצליחים לקבל את מטען ה-injection הנכון בניסיון הראשון. הם בודקים שוב ושוב, מנסים גרסאות שונות עד שמשהו חומק. חומת אש לאפליקציות ווב יכולה לזהות את הדפוס הזה של בקשות חזרתיות ומעט משתנות מאותו מקור, ולהתחיל לחסום או להציב אתגר לתעבורה הזו, אפילו אם כל בקשה בודדת נראית גבולית בפני עצמה.
כתבנו על איך סוג הזיהוי הזה של דפוסים מתרחב הרבה יותר מ-SQL injection בחוקי WAF מוסברים: איך חומת האש לאפליקציות ווב שלך מחליטה מה לחסום.
למה זה חשוב יותר מתיקון קוד בלבד
חלק מהמפתחים מניחים ששימוש בשאילתות פרמטריות או ORM מספיק כדי לעצור SQL injection לחלוטין. בעולם אידיאלי, זה היה מספיק. אבל אפליקציות אמיתיות הן מבולגנות. יש בהן קוד ישן, פלאגינים של צד שלישי, וקבלנים שכתבו קיצור דרך לפני חמש שנים שאף אחד לא זוכר. שאילתה אחת לא מטוהרת שקבורה איפשהו בבסיס קוד גדול, זה כל מה שצריך.
כאן חומת אש לאפליקציות ווב מוכיחה את הערך שלה. היא לא מחייבת אתכם למצוא ולתקן כל שורת קוד פגיעה. היא תופסת את הקלט הזדוני בדלת הכניסה, בלי קשר לשאלה אם הקוד מאחוריו בטוח או לא. זו שכבת הגנה שנייה שלא תלויה בכך שהאפליקציה שלכם תהיה מושלמת, ובכנות, אין כזו.
דוגמה מהחיים
נניח שהאתר שלכם מריץ פלאגין ישן עם פרצת SQL injection ידועה בתכונת חיפוש שמשתמשים בה רק לעיתים רחוקות. אתם אפילו לא בהכרח יודעים שהיא קיימת. סקנר אוטומטי מוצא אותה שעות ספורות אחרי חשיפה פומבית. בלי חומת אש לאפליקציות ווב, הפרצה הזו היא דלת פתוחה. עם אחת מותקנת, השאילתה הזדונית מסומנת וחסומה לפני שהיא מגיעה למסד הנתונים שלכם, מה שקונה לכם זמן לתקן את הקוד עצמו.
למבט רחב יותר על איך זה משתלב באבטחה הכוללת שלכם, ראו איומי OWASP Top 10 וכיצד חומת אש לאפליקציות ווב מתמודדת עם כל אחד מהם.
איך לעשות הגנת SQL Injection נכון
אם אתם בוחנים את ההגנות שלכם, הנה מה שכדאי לחפש:
- סט חוקים שמתעדכן באופן שוטף כשמתגלות שיטות injection חדשות
- יומן רישום (logging) כך שתוכלו לראות מה נחסם ולחקור דפוסים חשודים
- יכולת לכוונן חוקים כך שתעבורה לגיטימית לא תיחסם בטעות
- כיסוי בכל נקודות הקלט, לא רק בטופס ההתחברות או החיפוש הראשי
אנחנו מריצים חומת אש לאפליקציות ווב מול כל אתר שאנחנו מארחים, מכוונת לתפוס את הדפוסים האלה בלי להפריע למבקרים אמיתיים. אם אתם רוצים לראות איך הסינון עצמו עובד, בדקו את סקירת ה-WAF שלנו.
לסיכום
SQL injection הוא ישן, מתועד היטב, ועדיין יעיל בצורה מדהימה נגד אתרים שלא סגרו את הפרצות. שיטות כתיבת קוד מאובטח חשובות, אבל הן לא הבטחה. חומת אש לאפליקציות ווב נותנת לכם שכבת הגנה שתופסת קלט זדוני לפני שהוא מגיע למסד הנתונים שלכם, לא משנה מה מסתתר בבסיס הקוד שלכם. שלבו את זה עם בדיקות קוד סדירות, ותקבלו הגנה שלא תלויה בכך שהכל יתנהל בצורה מושלמת.
