SQL Injection trong SQLite - SQLite căn bản và nâng cao

Trong bài học hôm nay chúng ta sẽ cùng tìm hiểu một khái niệm khá quan trọng trong SQLite đó là injection. Vậy injection trong SQLite là gì? Chúng ta sẽ cùng tìm hiểu trong nội dung tiếp theo.

1. Injection trong SQLite là gì?

Nếu bạn nhận user input thông qua một Webpage và chèn nó vào trong một cơ sở dữ liệu trong SQLite, thì vô tình bạn đã mở rộng cửa cho vấn đề bảo mật ra bên ngoài, được gọi là SQL Injection. Trong bài này sẽ hướng dẫn bạn cách ngăn cản tình huống này xảy ra và giúp bạn bảo vệ script của bạn và các lệnh SQLite của bạn.

Injection xảy ra khi bạn yêu cầu người dùng nhập liệu, ví dụ như tên của họ và thay vì họ nhập tên , họ sẽ cung cấp cho bạn một câu lệnh SQLite mà bạn sẽ vô tình chạy trên cơ sở dữ liệu của bạn.

Đừng bao giờ tin tưởng dữ liệu do người dùng cung cấp, chúng ta chỉ xử lý dữ liệu này sau khi đã xác thực dữ liệu đó an toàn, và như một qui tắc, điều này được thực hiện bởi Pattern Matching (so khớp mẫu).

Trong ví dụ sau, tên người dùng được giới hạn ở các ký tự chữ và số cộng với dấu gạch dưới và độ dài từ 8 đến 20 ký tự.

if (preg_match("/^w{8,20}$/", $_GET['username'], $matches)){
   $db = new SQLiteDatabase('filename');
   $result = @$db->query("SELECT * FROM users WHERE username = $matches[0]");
} else {
   echo "username not accepted";
}

Để chứng minh vấn đề nói trên, chúng ta cùng xem xét đoạn script sau:

$name = "Qadir'; DELETE FROM users;";
@$db->query("SELECT * FROM users WHERE username = '{$name}'");

Hàm trên dùng để lấy một bản ghi từ bảng users trong đó cột username khớp với $name do người dùng chỉ định. Trong các trường hợp thông thường, $name sẽ chỉ chứa các ký tự chữ và số và có thể có khoảng trắng, chẳng hạn như chuỗi ilia. Tuy nhiên, trong trường hợp này, bằng cách nối thêm một truy vấn hoàn toàn mới vào $name, lời gọi đến cơ sở dữ liệu sẽ biến thành một thảm họa. Truy vấn DELETE được chèn sẽ xóa tất cả các bản ghi khỏi bảng users.

Có một số cơ sở dữ liệu không cho phép query stacking hoặc thực hiện nhiều truy vấn trong một lệnh gọi hàm đơn. Nếu bạn cố gắng stack queries, lời gọi thất bại nhưng SQLite và PostgreSQL lại cho thực hiện stacked queries, thực hiện tất cả các truy vấn được cung cấp trong một chuỗi và tạo ra sự cố bảo mật nghiêm trọng.

2. Ngăn chặn Injection trong SQLite

Bạn có thể xử lý tất cả escape characters một cách thông minh bằng các ngôn ngữ script như PERL và PHP. Ngôn ngữ lập trình PHP cung cấp hàm sqlite_escape_opes() để escape input characters đặc biệt đối với SQLite.

if (get_magic_quotes_gpc()) {
   $name = sqlite_escape_string($name);
}
$result = @$db->query("SELECT * FROM users WHERE username = '{$name}'");

Mặc dù mã hóa giúp chèn dữ liệu an toàn, nhưng nó sẽ hiển thị các so sánh văn bản đơn giản và các mệnh đề LIKE trong các truy vấn của bạn không sử dụng được cho các cột chứa dữ liệu nhị phân.

Lưu ý - addcslashes() không nên được sử dụng để trích dẫn các chuỗi của bạn cho các truy vấn SQLite. Nó sẽ dẫn đến kết quả lạ khi lấy dữ liệu của bạn.