יש לי חבר שיש לו שרת של משחק, עכשיו יש איזה ילד משועמם שפשוט "מזריק" לSQL של השרת מלא שמות משתמשים ומכביד על השרת עד שהוא נופל, השאלה שלי איך הוא יוכל להגן על הSQL מפני דברים כאלה?

שלום,

אין פתרון פלא - צריך לשנות את איך שהאתר בנוי ואיך שמאגר המידע בנוי

http://www.securiteam.com/securityreviews/5DP0N1P76E.html

בגדול הייתי מוסיף גם CAPTCHA שיכול מאוד לעזור

כל טוב,

גבריאל

זה מה שחבר שלי ענה לתגובה שלך גבריאל:

שגם שהאתר היה סגור היה אפשר לעשות SQL INJECT

פשוט אין הגנות לשרת איחסון

השרת מאוחסן ולא שמתי שום FIRE WALL או שום אנטי וירוס

והאתר כולו מנותק מהSQL

מה עוד הוא יכול לעשות?

הערה-אני ממש לא יודע איך להשתמש בSQL כמאגר מידע ביחד עם אתרים

אין אפשרות לוודא את מקור הבקשה? ורק לבצע אותה אם היא מגיע מן האתר

או לשלוח עם האתר keyword כלשהו כך שבקשה שלא הגיע עם הקיוורד לא תתבצע

זה הבעיה, שלא נרשמים לשרת דרך האתר, אלא שהם נרשמים דרך הSQL האתר לא קשור בשום אופן לשרת, רק מציג מידע על המשחק וכאלה.

SQL Injection זו התקפה מאוד ספציפית, ועדיין לא הבנתי אם לזה הכוונה.

זה יכול לקרות כאשר השרת מקבל קלט מהמשתמש ומשתמש בו כדי לייצר פקודות SQL ל- Database.

לדוגמא - אם למשתמש יש תיבת טקסט שהוא אמור להכניס שם משתמש וסיסמא, והשרת מרכיב אותה בצורה -

select * from users where username= "+userName+" and password = "+password;

אז יוזר מעצבן במיוחד יכול להכניס ב- username שלו משהו כמו

." OR 0=0;drop table users;--

והופ, הלכה טבלת היוזרים.

הפיתרון הנכון לזה הוא אף פעם לא להרכיב את ה-query בעצמך, ותמיד להשתמש בפרמטרים של SQL..

הפתרון הלא-משהו הוא לדאוג שבקלט יש רק את התוים שאתה מרשה (למשל - רק תוים אלפא-נומריים).

והנה מה שיש ל- XKCD לומר בנושא:

הפיתרון הנכון לזה הוא אף פעם לא להרכיב את ה-query בעצמך, ותמיד להשתמש בפרמטרים של SQL..

מה זאת אומרת לא להרכיב את הquery בעצמך?...

זאת אומרת להשתמש בפרמטרים של SQL. יש דוגמאות בויקיפדיה:

http://en.wikipedia.org/wiki/SQL_injection#Using_Parameterized_Statements

ובצורה הזאת אי אפשר בכלל לבצע SQL INJ ?

בדיוק.

כמובן אם יש חולשה ספציפית בשרת ה-SQL שלך, ייתכן שאפשר יהיה לנצל אותה כדי לבצע SQL Injection, אבל זה לא בשליטתך.