Главная страница » Блог » Современные методы атак на веб-приложения: SQL-инъекции и XSS

Современные методы атак на веб-приложения: SQL-инъекции и XSS

Mikhail Tarasov
9 сентября, 2024

В современном мире веб-приложений безопасность является одной из ключевых задач для разработчиков. Два из наиболее распространенных и опасных типов атак — это SQL-инъекции и межсайтовый скриптинг (XSS). В этой статье мы рассмотрим, что такое эти атаки, как они работают и как их можно предотвратить.

SQL-инъекции

SQL-инъекция — это метод атаки, при котором злоумышленник вводит вредоносный SQL-код в поле ввода веб-приложения, чтобы получить доступ к базе данных или изменить её содержимое. Это может привести к утечке данных, удалению информации или даже полному контролю над сервером.

Пример SQL-инъекции

Рассмотрим простой пример SQL-инъекции. Предположим, у нас есть форма входа, которая принимает имя пользователя и пароль:

<?php
$username = $_POST['username'];
$password = $_POST['password'];

$query = "SELECT * FROM users WHERE username='$username' AND password='$password'";
$result = mysqli_query($conn, $query);

if (mysqli_num_rows($result) > 0) {
    echo "Login successful!";
} else {
    echo "Invalid username or password.";
}
?>

<?php

$username = $_POST['username'];

$password = $_POST['password'];

$query = "SELECT * FROM users WHERE username='$username' AND password='$password'";

$result = mysqli_query($conn, $query);

if (mysqli_num_rows($result) > 0) {

echo "Login successful!";

} else {

echo "Invalid username or password.";

}

Если злоумышленник введет в поле пароля строку ' OR '1'='1, то запрос станет:

SELECT * FROM users WHERE username='admin' AND password='' OR '1'='1'

1	SELECT * FROM users WHERE username='admin' AND password='' OR '1'='1'

Этот запрос всегда будет истинным, и злоумышленник получит доступ к системе.

Как предотвратить SQL-инъекции

Использование подготовленных выражений: Подготовленные выражения позволяют разделить SQL-код и данные, что делает инъекции невозможными.

<?php
$stmt = $conn->prepare("SELECT * FROM users WHERE username=? AND password=?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    echo "Login successful!";
} else {
    echo "Invalid username or password.";
}
?>

<?php

$stmt = $conn->prepare("SELECT * FROM users WHERE username=? AND password=?");

$stmt->bind_param("ss", $username, $password);

$stmt->execute();

$result = $stmt->get_result();

if ($result->num_rows > 0) {

echo "Login successful!";

} else {

echo "Invalid username or password.";

}

Использование ORM (Object-Relational Mapping): ORM, такие как Doctrine или Eloquent, автоматически экранируют входные данные и предотвращают SQL-инъекции.

Межсайтовый скриптинг (XSS)

XSS — это тип атаки, при котором злоумышленник внедряет вредоносный скрипт в веб-страницу, которая затем выполняется в браузере пользователя. Это может привести к краже данных, изменению содержимого страницы или даже контролю над сессией пользователя.

Пример XSS

Рассмотрим простой пример XSS. Предположим, у нас есть форма комментариев, которая позволяет пользователям оставлять комментарии:

<?php
$comment = $_POST['comment'];
echo "<p>$comment</p>";
?>

<?php

$comment = $_POST['comment'];

echo "<p>$comment</p>";

Если злоумышленник введет в поле комментария строку <script>alert('XSS')</script>, то браузер пользователя выполнит этот скрипт и покажет всплывающее окно с текстом «XSS».

Как предотвратить XSS

Экранирование данных: Экранирование данных перед их выводом на страницу предотвращает выполнение вредоносного кода.

<?php
$comment = htmlspecialchars($_POST['comment'], ENT_QUOTES, 'UTF-8');
echo "<p>$comment</p>";
?>

<?php

$comment = htmlspecialchars($_POST['comment'], ENT_QUOTES, 'UTF-8');

echo "<p>$comment</p>";

Использование Content Security Policy (CSP):

CSP позволяет ограничить источники, откуда могут быть загружены скрипты, что значительно усложняет выполнение XSS-атак.

<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'">

1	<meta http-equiv="Content-Security-Policy" content="default-src 'self'; script-src 'self'">

Использование библиотек и фреймворков: Современные библиотеки и фреймворки, такие как React, Angular и Vue.js, автоматически экранируют данные и предотвращают XSS-атаки.

SQL-инъекции и XSS-атаки являются серьезными угрозами для безопасности веб-приложений. Однако, используя современные методы защиты, такие как подготовленные выражения, экранирование данных и Content Security Policy, можно значительно снизить риск этих атак. Разработчики должны быть внимательны к безопасности и использовать лучшие практики для защиты своих приложений.