SQL 注入是黑客攻擊手冊中最古老的伎倆之一……但它仍然有效。

只需幾次按鍵操作，攻擊者就能迫使您的數(shù)據(jù)庫泄露機(jī)密信息，從用戶名、密碼到信用卡數(shù)據(jù)，不一而足。對于企業(yè)而言，此類數(shù)據(jù)泄露意味著財(cái)務(wù)損失、法律糾紛以及嚴(yán)重的聲譽(yù)損害。

可怕的是？SQL 注入相對容易預(yù)防，但由于懶惰的編碼、過時(shí)的框架和不充分的輸入驗(yàn)證，它仍然普遍存在。

讓我們修復(fù)它。

快速修復(fù)：快速阻止SQL注入的6種方法：

1. 在輸入到達(dá)數(shù)據(jù)庫之前驗(yàn)證所有輸入
2. 使用參數(shù)化查詢或準(zhǔn)備好的語句
3. 對數(shù)據(jù)庫帳戶強(qiáng)制執(zhí)行最小特權(quán)原則
4. 保持軟件堆棧的修補(bǔ)和更新
5. 使用 Web 應(yīng)用程序防火墻 (WAF)
6. 加密敏感數(shù)據(jù)以限制泄露影響

1. 在輸入到達(dá)數(shù)據(jù)庫之前驗(yàn)證所有輸入

永遠(yuǎn)不要相信用戶輸入，即使它看起來無害。SQL 注入的根源在于糟糕的輸入驗(yàn)證，尤其是在未檢查類型、格式或長度的情況下就接受數(shù)據(jù)。

輸入驗(yàn)證是您的第一道防線。確保用戶輸入干凈、符合預(yù)期且嚴(yán)格控制。盡可能根據(jù)白名單進(jìn)行驗(yàn)證（例如，允許的字符、值范圍），并在將任何非預(yù)期內(nèi)容傳遞給查詢之前將其拒絕。

提示：將輸入驗(yàn)證與參數(shù)化查詢相結(jié)合，以實(shí)現(xiàn)最大程度的保護(hù)。驗(yàn)證可以過濾掉垃圾數(shù)據(jù)，而參數(shù)化則可確保剩余的數(shù)據(jù)不會(huì)被當(dāng)作 SQL 執(zhí)行。

2.使用參數(shù)化查詢（準(zhǔn)備好的語句）

別再像復(fù)制粘貼用戶輸入那樣構(gòu)建 SQL 查詢了。當(dāng)你連接字符串來創(chuàng)建查詢時(shí)，攻擊者可能會(huì)將惡意代碼注入你的數(shù)據(jù)庫。

參數(shù)化查詢將用戶輸入與 SQL 邏輯分離，從而消除任何注入的語法。幾乎所有現(xiàn)代編程語言和框架都支持此功能。

Python 示例：

cursor.execute（“SELECT * FROM users WHERE email=？”，（email，））

這個(gè)簡單的改變會(huì)帶來巨大的改變。它或許能讓你的應(yīng)用避免成為警示故事。

3. 應(yīng)用最小特權(quán)原則

不要把數(shù)據(jù)庫的鑰匙交給數(shù)據(jù)庫用戶。如果你的應(yīng)用只需要讀取數(shù)據(jù)，就不要授予寫入、更新或刪除權(quán)限。如果它需要更新記錄，就不應(yīng)該擁有刪除表的權(quán)限。

限制訪問可以最大限度地減少有人找到入侵方法時(shí)造成的損害。它還有助于隔離應(yīng)用程序特定部分的缺陷。

最佳實(shí)踐：為應(yīng)用程序的不同部分創(chuàng)建單獨(dú)的數(shù)據(jù)庫用戶 - 每個(gè)用戶僅具有所需的權(quán)限。

4. 保持堆棧更新

攻擊者喜歡使用過時(shí)的軟件。如果您的數(shù)據(jù)庫服務(wù)器、Web 框架或 CMS 最近沒有更新，那么您很可能錯(cuò)過了關(guān)鍵的安全補(bǔ)丁。

Tenable和Sophos等工具可以持續(xù)掃描您的基礎(chǔ)設(shè)施，查找未修補(bǔ)的漏洞和過時(shí)的依賴項(xiàng)。

提示：設(shè)置自動(dòng)警報(bào)或安排補(bǔ)丁周期，以領(lǐng)先于針對已知 SQL 注入漏洞的漏洞工具包。

5.部署Web應(yīng)用程序防火墻（WAF）

可以將WAF視為應(yīng)用的安全保鏢。它會(huì)分析傳入流量，并在惡意請求（包括 SQL 注入負(fù)載）到達(dá)您的代碼之前將其攔截。這其中也包括一些更高級的技術(shù)，例如碎片化或混淆的 SQL 注入，這些技術(shù)旨在繞過簡單的輸入過濾器。

一些消費(fèi)者友好的安全平臺(tái)，例如Norton和Avast，提供功能類似于小型企業(yè)網(wǎng)站或 WordPress 安裝的 WAF 的網(wǎng)絡(luò)保護(hù)層。

請記住：高級站點(diǎn)應(yīng)該考慮企業(yè)級 WAF，尤其是在處理敏感客戶數(shù)據(jù)或大量流量時(shí)。

6.加密敏感數(shù)據(jù)

加密并不能阻止 SQL 注入，但它可以限制可能造成的損害。如果攻擊者設(shè)法提取了您的數(shù)據(jù)庫內(nèi)容，您希望這些數(shù)據(jù)對他們毫無用處。

通過使用強(qiáng)大的單向算法（例如 bcrypt 或 Argon2）對密碼進(jìn)行散列來安全地存儲(chǔ)密碼，并對財(cái)務(wù)數(shù)據(jù)或 PII 等敏感記錄使用對稱或非對稱加密。

NordLocker或Keeper等工具可以更輕松地加密文件和憑據(jù)，尤其是在遠(yuǎn)程或分布式環(huán)境中。

使用這些工具在 SQL 注入開始之前阻止它

代碼是您的第一道防線，但并非唯一的防線。這些工具可以幫助您檢測漏洞、保護(hù)敏感數(shù)據(jù)并確保開發(fā)工作流程的安全。

加密和憑證管理器

• NordLocker：敏感文件的端到端加密
• Keeper：具有違規(guī)監(jiān)控功能的密碼管理器
• LogMeOnce：內(nèi)置 MFA 的身份和訪問管理
• LastPass：具有團(tuán)隊(duì)共享功能的憑證庫

威脅和漏洞檢測

• Tenable：漏洞管理和威脅暴露分析
• Sophos：人工智能驅(qū)動(dòng)的端點(diǎn)保護(hù)和實(shí)時(shí)掃描
• 趨勢科技：云、端點(diǎn)和工作負(fù)載安全
• Malwarebytes：強(qiáng)大的反惡意軟件和漏洞防護(hù)

用于安全開發(fā)的VPN

• NordVPN：快速、安全的 VPN，非常適合開發(fā)人員和遠(yuǎn)程工作者
• Surfshark：連接無限設(shè)備并阻止追蹤器
• TunnelBear：易于使用的VPN，提供免費(fèi)計(jì)劃
• 私人互聯(lián)網(wǎng)接入：開發(fā)人員的高級配置選項(xiàng)
• PrivateVPN：簡單實(shí)惠，加密功能強(qiáng)大

最后的想法

SQL 注入攻擊不會(huì)消失。但只需采取一些巧妙的措施，例如參數(shù)化查詢和最低權(quán)限訪問，就能在這些攻擊觸及數(shù)據(jù)之前將其阻止。

立即采取行動(dòng)：審核您的代碼庫、掃描漏洞并加密所有重要內(nèi)容。

安全并非一朝一夕就能解決的，而是一種習(xí)慣。