एसक्यूएलकेकी + एसक्यूएल इंजेक्शन

Question

एसक्यूएलकेमी का उपयोग करते समय एसक्यूएल इंजेक्शन हमलों को कम करने के लिए सबसे अच्छे प्रथाएं क्या हैं?

Answer 1

आप अपने डेटा में (जैसे अर्धविराम या अक्षर लोप के रूप में) किसी भी "विशेष" वर्ण हो, तो उन्हें अपने आप के लिए SQLEngine वस्तु से, उद्धृत किया जाएगा, ताकि आप के बारे में चिंता की जरूरत नहीं है के हवाले से। इसका अर्थ यह भी है कि कि जब तक आप जानबूझकर SQLAlchemy के उद्धरण तंत्र को बाईपास नहीं करते हैं, एसक्यूएल-इंजेक्शन हमले मूल रूप से असंभव हैं।

[http://www.rmunn.com/sqlalchemy-tutorial/tutorial.html प्रति]

Answer 2

tldr: जितना संभव हो उतना कच्चे एसक्यूएल से बचें।

स्वीकृत उत्तर आलसी और गलत है। फिल्टर विधि कच्चे एसक्यूएल को स्वीकार करती है, और यदि इस तरह से उपयोग की जाती है, तो एसक्यूएल इंजेक्शन हमलों के लिए पूरी तरह से अतिसंवेदनशील है। उदाहरण के लिए, यदि आप एक यूआरएल से एक मूल्य को स्वीकार करने और फिल्टर में कच्चे एसक्यूएल के साथ गठबंधन करने के लिए थे, तो आप हमले के लिए खुले हैं:

session.query(MyClass).filter("foo={}".format(getArgs['val']))

ऊपर कोड और नीचे यूआरएल का उपयोग कर, आप होगा अपने फ़िल्टर स्टेटमेंट में एसक्यूएल इंजेक्शन। उपरोक्त कोड आपके डेटाबेस में सभी पंक्तियों को वापस कर देगा।

http://domain.com/?val=2%20or%201%20=%201

Answer 3

@Tendrid answer में जोड़ने के लिए। मैंने चुपचाप दृष्टिकोण का उपयोग करके थोड़ी सी जांच की। filter विधि में *criterion है इसके तर्क के रूप में, कई अन्य ORM क्वेरी विधियों के समान तर्क है।

filter विधि *criterion तर्क _literal_as_text, जो स्ट्रिंग के मामले में में पारित कर दिया समाप्त होता है के मामले में - के निशान के रूप में सुरक्षित एसक्यूएल (कृपया मुझे ठीक कर लें मैं गलत हूँ)। इसलिए यह असुरक्षित बनाता है।

यहाँ *criterion तर्क के साथ ORM Query class विधि जांच का परिणाम है:

filter - uses _literal_as_text (NOT SAFE) 
having - uses _literal_as_text (NOT SAFE) 

distinct - uses _literal_as_label_reference (NOT SAFE) 
group_by - uses _literal_as_label_reference (NOT SAFE) 
order_by - uses _literal_as_label_reference (NOT SAFE) 

join  - uses model attributes to resolve relation (SAFE) 

---

संभव विधि missuses के उदाहरण (यह आसान रखने के लिए, स्ट्रिंग स्वरूपण को छोड़ दिया है):

db.session.query(User.login).group_by('login').having('count(id) > 4; select name from roles').all() 
db.session.query(User.login).distinct('name) name from roles /*').order_by('*/').all() 
db.session.query(User.login).order_by('users_login; select name from roles').all() 
db.session.query(User.login).group_by('login union select name from roles').all() 

---

नोट कि स्ट्रिंग शाब्दिक पारित होने पर ये विधियां केवल असुरक्षित हैं।