Nota video

Teks penuh video

Kalau kau bina borang log masuk yang terus tampal apa saja pengguna taip ke dalam arahan pangkalan data, kau dah ada sistem paling mesra penggodam! Robot pustakawan kau ikut bulat-bulat setiap perkataan. Tapi penggodam boleh taip petik tunggal diikuti o ar satu sama dengan satu, menjadikan syarat semakan sentiasa benar dan pintu terus terbuka!

Jadi, kau asingkan arahan dan data, input pengguna hanya diisi ke dalam slot kosong yang tak boleh ubah struktur arahan. Ini namanya parameterized query atau prepared statement. Tapi borang kau masih terima apa saja, contohnya nombor telefon berisi huruf dan simbol pelik!

Jadi, setiap input disemak dahulu ikut jenis, panjang dan format yang dibenarkan sahaja, yang lain ditolak. Ini namanya sanitasi dan validasi input. Tapi kalau satu celah terlepas, akaun pangkalan data aplikasi kau ada kuasa admin penuh, membolehkan penggodam baca dan padam semua jadual!

Jadi, akaun aplikasi hanya diberi kunci untuk rak yang perlu sahaja, tanpa hak padam atau ubah struktur. Ini namanya prinsip least privilege. Tapi bila ralat berlaku, laman kau paparkan mesej ralat pangkalan data penuh, siap dengan nama jadual dan lajur!

Jadi, pengguna cuma nampak mesej umum, manakala butiran sebenar disimpan dalam log rahsia untuk pasukan kau. Ini namanya pengendalian ralat selamat. Tapi penggodam guna bot automatik yang hantar ribuan cubaan suntikan setiap minit!

Jadi, kau letak pengawal di pintu masuk yang kenal corak serangan es kiu el, sekat permintaan mencurigakan dan hadkan kadar cubaan. Ini namanya Web Application Firewall. Injection kekal dalam senarai o dablyu ei es pi Top Ten, tapi sekarang kau tahu cara tutup celahnya.

Ingat, prepared statement ialah pertahanan utama, manakala validasi input, least privilege, ralat selamat dan firewall jadi lapisan sokongan. Lepas ni nak belajar apa pula?

Siri Teknologi dan AI dalam animasi 3D LEGO (V916-067) oleh KongsikanDotCom. Tonton lagi di