تجاوز فلتر كلمات

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

متجر صغير يعرض منتجاته حسب التصنيف المبرمج سمع عن SQL Injection فأضاف «حماية»: قبل تنفيذ الاستعلام يحذف الكلمتين union و select من المدخل مرة واحدة في قاعدة البيانات جدول آخر فيه ملاحظات الموظفين ومن بينها رمز قسيمة سري

ما الذي تراه أمامك

مخزن إمداد الغربان تطبيق من صفحتين صفحة المتجر تبحث عن المنتجات حسب التصنيف وترسل التصنيف إلى /products وتطبع الاستعلام بعد الفلتر وصفحة القسيمة تتحقق من رمز سري المبرمج سمع عن حقن SQL فأضاف حماية يحذف الكلمتين union و select مرة واحدة من مدخلك في قاعدة البيانات جدول ثان staff_notes فيه رمز قسيمة سري

الهدف

استخرج رمز القسيمة من جدول الملاحظات ثم أدخله في خانة القسيمة

متى يعتبر محلولا

تدخل رمز القسيمة الصحيح المستخرج من جدول الملاحظات

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

ابحث بتصنيف عادي وافهم أن الاستعلام يرجع عمودين الاسم والسعر
جرب اقتباسا مفردا في التصنيف وشاهد كيف يكسر الاستعلام
اختبر الفلتر هل يتكرر الحذف لو كتبت الكلمة الممنوعة متداخلة مع نفسها
ابن استعلاما ثانيا يقرأ عمود note من staff_notes بنفس عدد الأعمدة مع كتابة الكلمات متداخلة
خذ الرمز من النتيجة وأدخله في صفحة القسيمة

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

الفلتر كان حذفا بسيطا لكلمات بعينها وهذا ليس حماية الحذف لمرة واحدة يترك ثغرة: كلمة مكتوبة متداخلة مع نفسها تعود سليمة بعد الحذف وحتى لو كان الحذف متكررا تبقى طرق أخرى (تغيير حالة الأحرف تعليقات داخل الكلمة). القائمة السوداء للكلمات تلاحق الأعراض الإصلاح الوحيد هو فصل البيانات عن الاستعلام بالمعاملات

السبب الجذري

الحماية كانت قائمة سوداء تحذف كلمات بعينها مرة واحدة والحذف لمرة واحدة قابل للكسر بكتابة الكلمة متداخلة مع نفسها فتعود سليمة بعد الحذف الجذر أن المدخل ما زال يلصق في نص الاستعلام

كيف يصلح الكود

منع الكلمات (blacklist) يكسره المهاجم دائما بطريقة لم يفكر بها المبرمج الحل هو الاستعلامات ذات المعاملات: القيمة بيانات لا تتحول إلى كود مهما احتوت

الكود المصاب

app.get('/products', (req, res) => {
  // "Protection": strip the dangerous words, then paste the rest into the query.
  const category = req.query.category.replace(/union|select/gi, '');
  const sql = "SELECT name, price FROM products WHERE category = '" + category + "'";
  res.json(db.all(sql));
});

الكود الآمن

app.get('/products', (req, res) => {
  // The value travels as data; no amount of SQL keywords in it can change the query.
  const sql = 'SELECT name, price FROM products WHERE category = ?';
  res.json(db.all(sql, [req.query.category]));
});

الأثر في الواقع

قراءة جدول آخر عبر UNION تعني تسريب أي بيانات في قاعدة البيانات أسماء مستخدمين كلمات مرور مجزأة أسرار داخلية وهذا من أكثر ما يستغل في تسريبات البيانات الكبيرة

كيف يكتشفها المدافعون

المدافع يرصد كلمة union والدالة substr وتكرار الطلبات المتشابهة بفروق بسيطة ويضع حدا لأخطاء SQL كما تكشف مراجعة الكود أي مكان يبنى فيه استعلام بالدمج بدل المعاملات

المستوى التالي العودة إلى الدرس