Безопасность баз данных

В настоящее время БД являются ключевыми компонентами любого web-приложения, давая web-сайтам возможность предоставлять разнообразное динамическое содержимое. Поскольку в таких БД может храниться очень секретная или высокоточная информация, вы должны предусмотреть их основательную защиту.

Для получения или сохранения любой информации вам необходимо установить соединение с БД, отправить верный запрос, получить результат и закрыть соединение.
В настоящее время чаще всего используется язык запросов Structured Query Language (SQL). См., как взломщик может вторгнуться с помощью SQL-запроса.

PHP сам по себе не может защитить вашу БД. Последующие разделы являются введением в основы доступа и манипулирования БД в PHP-скриптах.

Запомните простое правило: максимальная защита. Необходимо защищать БД как можно сильнее, что уменьшит вероятность успеха взлома и получения, нарушения или уничтожения ценной информации.

Дизайн БД

Первый шаг - это всегда создание БД, если только вы не хотите использовать готовую БД стороннего производителя. Когда БД создаётся, она назначается пользователю, который выполняет оператор создания. Обычно только владелец/owner (или superuser) может выполнять действия с объектами в БД, а чтобы и другие пользователи могли пользоваться этой БД, необходимо дать привилегии доступа.

Приложения никогда не должны соединяться с БД как её owner или superuser, поскольку эти бюджеты могут выполнять любой запрос, модифицировать схему (например, стереть таблицы) или удалять всё содержимое полностью.

Вы можете создать различных пользователей БД для каждого аспекта вашего приложения с ограничениями на использование объектов БД. Нужно давать только самые необходимые привилегии и необходимо исключать возможность работы с БД одного пользователя в разных вариантах использования. Это значит, что, если взломщик получает доступ к вашей БД с использованием одних привилегий, он сможет делать все изменения, какие только можно сделать ваше приложение.

Мы советуем не реализовывать всю бизнес-логику в web-приложении (т.е. в ваших скриптах), а использовать для этого схему БД с триггерами, просмотрами или правилами. Если система разрастается, понадобятся новые порты для БД, и вы должны будете заново реализовывать всю логику для каждого отдельного клиента БД. Вместо этого, можно использовать тригеры для прозрачной и автоматической обработки полей, что часто необходимо при отладке ваших приложений или при трассировке отката транзакций.

Соединение с БД

Вы можете установить соединение через SSL с целью шифровки соединения клиент/сервер для повышения защиты или использовать ssh для шифровки сетевого соединения между клиентами и сервером БД. Если вы реализуете что-нибудь из этого, то мониторинг вашего трафика и получение информации значительно усложнится.

Модель шифровки при хранении/Encrypted Storage

SSL/SSH защищает передачу данных с клиента на сервер, SSL/SSH не защищает постоянные данные, хранимые в БД. SSL это протокол on-the-wire.

Если взломщик получил прямой доступ к вашей БД (в обход web-сервера), он получит доступ к закрытым данным и может использовать их или повредить, если информация не защищена на уровне самой БД. Шифровка данных - хороший способ предотвратить это, но мало какие БД предлагают этот тип шифровки данных.

Простейший способ решения этой проблемы - создать сначала ваш собственный пакет шифрования данных, а затем использовать его PHP-скриптах. PHP может в этом случае помочь вам различными расширениями, такими как Mcrypt и Mhash, покрывающими большое количество алгоритмов шифрования данных. Скрипт сначала шифрует сохраняемые данные, а затем дешифрует их при запросе. См. в описании следующих примеров о том, как работает шифрование.

В случае со скрытыми/hidden данными, если их необработанное представление не нужно (то есть оно не отображается), можно предусмотреть хэширование. Хорошо известный пример хэширования - хранение MD5-хэша пароля в БД, вместо хранения самого пароля. См. также crypt() и md5().

// хранение хэша пароля
$query  = sprintf("INSERT INTO users(name,pwd) VALUES(’%s’,’%s’);",
            addslashes($username), md5($password));
$result = pg_exec($connection, $query);

// запросить, если пользователь ввёл правильный пароль
$query = sprintf("SELECT 1 FROM users WHERE name=’%s’ AND pwd=’%s’;",
            addslashes($username), md5($password));
$result = pg_exec($connection, $query);

if (pg_numrows($result) > 0) {
    echo "Welcome, $username!";
}
else {
    echo "Authentication failed for $username.";
}

Инъекция SQL

Многие web-разработчики не в курсе того, как запросы SQL могут быть подделаны, и считают, что SQL-запрос это надёжная команда.
SQL-запросы могут обойти управление доступом, стандартную аутентификацию и проверку авторизации, а некоторые SQL-запросы могут даже дать доступ к командам ОС хоста.

Direct SQL Command Injection это такая техника, когда взломщик создаёт или изменяет текущие команды SQL для получения доступа к скрытым данным, их переопределения или даже для выполнения опасных команд системного уровня на хосте БД. Это выполняется с помощью приложения, принимающего пользовательский ввод, и сочетания его со static-параметрами для построения SQL-запроса. Следующие примеры (к сожалению...) основаны на реальных фактах.

Благодаря отсутствию проверки ввода и соединения с БД или поведению superuser’а или того, кто может создавать пользователей, взломщик может создать superuser’а в вашей БД.

$offset = argv[0]; // видите, никакой проверки ввода!
$query  = "SELECT id, name FROM products ORDER BY name LIMIT 20 OFFSET $offset;";
// с PostgreSQL 
$result = pg_exec($conn, $query);
// с MySQL
$result = mysql_query($query);

Обычно пользователи щёлкают ссылки ’next’, ’prev’, где $offset кодируется в URL. Скрипт ожидает, что входящее $offset это 10-ричное число. Однако кто-нибудь может попытаться вломиться, присоединив urlencode()’ированную форму следующей информации к URL:

// в PostgreSQL
0;
insert into pg_shadow(usename,usesysid,usesuper,usecatupd,passwd)
    select ’crack’, usesysid, ’t’,’t’,’crack’
    from pg_shadow where usename=’postgres’;
--

// в MySQL
0;
UPDATE user SET Password=PASSWORD(’crack’) WHERE user=’root’;
FLUSH PRIVILEGES;

$query  = "SELECT id, name, inserted, size FROM products
                  WHERE size = ’$size’
                  ORDER BY $order LIMIT $limit, $offset;";
$result = odbc_exec($conn, $query);

’
union select ’1’, concat(uname||’-’||passwd) as name, ’1971-01-01’, ’0’ from usertable;
--

$query = "UPDATE usertable SET pwd=’$pwd’ WHERE uid=’$uid’;";

// $uid == ’ or uid like’%admin%’; --
$query = "UPDATE usertable SET pwd=’...’ WHERE uid=’’ or uid like ’%admin%’; --";

// $pwd == "hehehe’, admin=’yes’, trusted=100 "
$query = "UPDATE usertable SET pwd=’hehehe’, admin=’yes’, trusted=100 WHERE ...;"

$query  = "SELECT * FROM products WHERE id LIKE ’%$prod%’";
$result = mssql_query($query);

$query  = "SELECT * FROM products
                    WHERE id LIKE ’%a%’
                    exec master..xp_cmdshell ’net user test testpass /ADD’--";
$result = mssql_query($query);