SQL Injection 攻擊與防禦

假如你開發了一個網站，有user登入的功能，駭客故意輸入SQL語法來破壞原本的SQL結構，這就是SQL注入攻擊。

想像L28, 29是user輸入的帳號密碼，在正常情況下可以成功查出這個user。

正常情況下SQL長這樣:
SELECT * FROM user where account = 'abc' and password = '123'

現在我把程式碼L29改成這樣:

結果還是一樣成功找出這個user了!

因為現在SQL變成這樣了:
SELECT * FROM user where account = 'abc' and password = 'xxx' or '1'='1'

雖然沒有密碼是xxx的，但是'1'='1'是成立的，因此這個table資料就被撈出來了!
一般登入驗證成功後，可能不會把帳密撈出來，但是駭客透過這種方式還是可以登入成功，雖然不知道你的密碼。

這個攻擊的示範還只是把資料抓出來而已，那如果是下delete呢?

防禦SQL Injection:

1. 將user輸入的SQL關鍵字select or ' " 等等字元過濾。

2. 資料庫中儲存加密後的密碼，後端接收到user輸入的密碼後，先進行密碼加密，再組select SQL來驗證是否資料比對成功。

3. 將資料庫不必要的權限拔除，例如把drop table權限拿掉、不需要delete的table就不要grant權限給該db user。

4. 程式使用Prepared statement bind params的方式來下SQL:

將程式碼改成這樣:

可以發現雖然L29被sql injection，但是卻沒撈出結果。
利用L38把最後執行的SQL print出來可以發現，最終執行的SQL是這樣:
SELECT * FROM user where account = 'abc' and password = 'xxx\' or \'1\'=\'1'

因為bindParam幫我們把單引號跳脫掉了，因此避開了SQL Injection攻擊。

5. 使用ORM