Laravelis asuv SQL -i süstimise vahetarkvara pakett töötab, peatades sissetulevad HTTP -taotlused ja kontrollides sisendandmeid, et tuvastada ja ennetada SQL -i süstimisrünnakuid enne rakenduse loogika või andmebaasi kihti jõudmist. Siin on üksikasjalik selgitus, kuidas selline vahevara toimib:
põhifunktsionaalsus
- Vahevara toimib filtrina HTTP päringu andmete, sealhulgas päringuparameetrite, vormide sisendite ja muude kasutajatoitlusega andmete filtrina.
- See valideerib ja desinfitseerib neid sisendeid, et need ei sisalda pahatahtlikke SQL -koodi ega mustreid, mida saaks kasutada SQL -i päringutega manipuleerimiseks.
- Varase sisendite desinfitseerides hoiab see ära ohtlike andmete edastamise töötlemata SQL -i päringutesse või päringu ehitajateks, mis võivad olla süstimise suhtes haavatavad.
tehnilised mehhanismid
-Vahevara skaneerib tavaliselt kahtlaste märkide või SQL-i märksõnade sisendrünnakuid, mida tavaliselt kasutatakse süstimisrünnakutes, näiteks "" ",`; `,`, `-", `tilk", `Select" jne.
- See võib pahatahtlike mustrite tuvastamisel pääseda või eemaldada taotlused otse tagasi lükata.
- Mõned vahevarapaketid pakuvad ka kahtlaste sisendite konfigureeritavat logimist, võimaldades arendajatel jälgida ja analüüsida võimalikke rünnakukatseid.
- Vahevara saab kogu maailmas rakendada kogu marsruudile või valikuliselt konkreetsetele marsruutidele, mis vajavad täiendavat kaitset.
integratsioon Laravelis
- Pakett installitakse helilooja kaudu ja konfigureeritakse selle konfiguratsioonifaili avaldamisega.
- Vahevara on registreeritud Laraveli HTTP -tuumas kas kogu maailmas või marsruudi vahetarkvarana.
- Kui see on registreerunud, töötleb see automaatselt kõiki sissetulevaid taotlusi või seda, mis selle kaudu suunatakse.
- Arendajad saavad kohandada käitumist nagu logimine, blokeerimine või strateegiate desinfitseerimine konfiguratsiooni kaudu.
täiendav kaitse
- Lisaks SQL -i süstimisele kaitsevad mõned vahetarkvara paketid ka LDAP -i süstimise eest, desinfitseerides sisendeid kataloogiteenuste päringutes.
- Vahetarkvara täiendab Laraveli sisseehitatud kaitset, näiteks kõnekaid ORM ja Query Builder Parameeter sidumine, mis enamikul juhtudel pääseb sisenditega automaatselt.
- See on eriti kasulik, kui kasutatakse RAW SQL -i päringuid või töötlemata avaldisi ("kust", `selectraw"), mis on oma olemuselt riskantsem.
Näide kasutusest
-Pärast vahetarkvara paketi installimist (nt `Composeri vajadus Protect/SQL-Query-Protection` kaudu) avaldate konfiguratsiooni ja selge vahemälu.
- Registreerite vahetarkvara jaotises APP/HTTP/KERNEL.PHP` Kas globaalselt või marsruudi vahetarkvarana.
- Seejärel filtreeritakse sissetulevad taotlused vahetarkvara abil, mis desinfitseerib sisendeid või blokeerib pahatahtlikke päringuid enne teie kontrollerite või andmebaasi kihti jõudmist.
Kokkuvõtlikult töötab Laraveli SQL -i süstimisvahemike pakett ennetava turvakihtina, mis kontrollib ja desinfitseerib kasutaja sisendeid HTTP päringu tasemel, et vältida SQL -i süstimisrünnakuid. See suurendab Laraveli looduslikku kaitset, sihtides tooreid päringuid ja kahtlasi sisendmustreid, pakkudes konfigureeritavaid logimis- ja blokeerimisvõimalusi rakenduse ja andmebaasi kaitsmiseks [3] [4] [5].
Tsitaadid:
]
[2] https://www.stackhawk.com/blog/sql-presection-prevention-laravel/
[3] https://github.com/aswinsasi/injection-crotector
]
]
]
]
]