Skip to main content
adicionou 61 caracteres ao conteúdo
Fonte Link
hugomg
  • 9,1mil
  • 27
  • 39

Problemas de injeção de código podem ocorrer sempre que você mistura duas linguagens separadas. Por exemplo, bugs de injeção de SQL ocorrem quando tratamos tratamos dados do usuário como código SQL e passamos para o banco de dados executar e defeitos de XSS (cross site scripting) surgem quando pegamos texto do usuário e passamos para o browser como se fosse HTML (e esse HTML pode conter tags script).

Num mundo ideal, ao invés de usar strings pra representar tanto a query quanto os dados do usuário (permitindo que dados e código sql sejam concatenados/interpolados de forma perigosa) usaríamos tipos separados para esses valores que proibissem misturar um com o outro.

Tudo bem, mas então, como programar para evitar problemas com injeção?

Uma primeira alternativa é oferecer uma função de "escape", que converta dados do usuário em código segureseguro. Por exemplo, em HTML convertemos todos os & em & e em SQL protegemos as aspas. A principal desvantagem deUsar uma função de escapeescapa é queuma abordagem bastante simples e comum mas você tem que ter cuidado prapara não rodar elaescapar algo duas vezes sem querer, já que aessa operação nãqonormalmente não é indepotentenão é idempotente.

A segunda alternativa no caso do SQL é parametrizar a query. Ao invés de sair concatenando as coisas na mão você diz (com os ? ou alguma sintaxe similar) onde estão as "lacunas" da query e o próprio banco preenche essas lacunas com os parâmetros, que são passados separadamente. Como os dados do usuário são passados para o banco como parâmetros, não há risco deles serem executados como código SQL.

Problemas de injeção de código podem ocorrer sempre que você mistura duas linguagens separadas. Por exemplo, bugs de injeção de SQL ocorrem quando tratamos tratamos dados do usuário como código SQL e passamos para o banco de dados executar e defeitos de XSS (cross site scripting) surgem quando pegamos texto do usuário e passamos para o browser como se fosse HTML (e esse HTML pode conter tags script).

Num mundo ideal, ao invés de usar strings pra representar tanto a query quanto os dados do usuário (permitindo que dados e código sql sejam concatenados/interpolados de forma perigosa) usaríamos tipos separados para esses valores que proibissem misturar um com o outro.

Tudo bem, mas então, como programar para evitar problemas com injeção?

Uma primeira alternativa é oferecer uma função de "escape", que converta dados do usuário em código segure. Por exemplo, em HTML convertemos todos os & em &. A principal desvantagem de uma função de escape é que você tem que ter cuidado pra não rodar ela duas vezes sem querer, já que a operação nãqo é indepotente.

A segunda alternativa no caso do SQL é parametrizar a query. Ao invés de sair concatenando as coisas na mão você diz (com os ? ou alguma sintaxe similar) onde estão as "lacunas" da query e o próprio banco preenche essas lacunas com os parâmetros, que são passados separadamente. Como os dados do usuário são passados para o banco como parâmetros, não há risco deles serem executados como código SQL.

Problemas de injeção de código podem ocorrer sempre que você mistura duas linguagens separadas. Por exemplo, bugs de injeção de SQL ocorrem quando tratamos dados do usuário como código SQL e passamos para o banco de dados executar e defeitos de XSS (cross site scripting) surgem quando pegamos texto do usuário e passamos para o browser como se fosse HTML (e esse HTML pode conter tags script).

Num mundo ideal, ao invés de usar strings pra representar tanto a query quanto os dados do usuário (permitindo que dados e código sql sejam concatenados/interpolados de forma perigosa) usaríamos tipos separados para esses valores que proibissem misturar um com o outro.

Tudo bem, mas então, como programar para evitar problemas com injeção?

Uma primeira alternativa é oferecer uma função de "escape", que converta dados do usuário em código seguro. Por exemplo, em HTML convertemos todos os & em & e em SQL protegemos as aspas. Usar uma função de escapa é uma abordagem bastante simples e comum mas você tem que ter cuidado para não escapar algo duas vezes sem querer, já que essa operação normalmente não é não é idempotente.

A segunda alternativa no caso do SQL é parametrizar a query. Ao invés de sair concatenando as coisas na mão você diz (com os ? ou alguma sintaxe similar) onde estão as "lacunas" da query e o próprio banco preenche essas lacunas com os parâmetros, que são passados separadamente. Como os dados do usuário são passados para o banco como parâmetros, não há risco deles serem executados como código SQL.

Fonte Link
hugomg
  • 9,1mil
  • 27
  • 39

Problemas de injeção de código podem ocorrer sempre que você mistura duas linguagens separadas. Por exemplo, bugs de injeção de SQL ocorrem quando tratamos tratamos dados do usuário como código SQL e passamos para o banco de dados executar e defeitos de XSS (cross site scripting) surgem quando pegamos texto do usuário e passamos para o browser como se fosse HTML (e esse HTML pode conter tags script).

Num mundo ideal, ao invés de usar strings pra representar tanto a query quanto os dados do usuário (permitindo que dados e código sql sejam concatenados/interpolados de forma perigosa) usaríamos tipos separados para esses valores que proibissem misturar um com o outro.

Tudo bem, mas então, como programar para evitar problemas com injeção?

Uma primeira alternativa é oferecer uma função de "escape", que converta dados do usuário em código segure. Por exemplo, em HTML convertemos todos os & em &. A principal desvantagem de uma função de escape é que você tem que ter cuidado pra não rodar ela duas vezes sem querer, já que a operação nãqo é indepotente.

A segunda alternativa no caso do SQL é parametrizar a query. Ao invés de sair concatenando as coisas na mão você diz (com os ? ou alguma sintaxe similar) onde estão as "lacunas" da query e o próprio banco preenche essas lacunas com os parâmetros, que são passados separadamente. Como os dados do usuário são passados para o banco como parâmetros, não há risco deles serem executados como código SQL.