SQL Injection trong SQLite

Trong bài học hôm nay chúng ta sẽ cùng tìm hiểu một khái niệm khá quan trọng trong SQLite đó là injection. Vậy injection trong SQLite là gì? Chúng ta sẽ cùng tìm hiểu trong nội dung tiếp theo.

test php

Bài viết này được đăng tại freetuts.net, không được copy dưới mọi hình thức.

1. Injection trong SQLite là gì?

Nếu bạn nhận user input thông qua một Webpage và chèn nó vào trong một cơ sở dữ liệu trong SQLite, thì vô tình bạn đã mở rộng cửa cho vấn đề bảo mật ra bên ngoài, được gọi là SQL Injection. Trong bài này sẽ hướng dẫn bạn cách ngăn cản tình huống này xảy ra và giúp bạn bảo vệ script của bạn và các lệnh SQLite của bạn.

Injection xảy ra khi bạn yêu cầu người dùng nhập liệu, ví dụ như tên của họ và thay vì họ nhập tên , họ sẽ cung cấp cho bạn một câu lệnh SQLite mà bạn sẽ vô tình chạy trên cơ sở dữ liệu của bạn.

Đừng bao giờ tin tưởng dữ liệu do người dùng cung cấp, chúng ta chỉ xử lý dữ liệu này sau khi đã xác thực dữ liệu đó an toàn, và như một qui tắc, điều này được thực hiện bởi Pattern Matching (so khớp mẫu).

Bài viết này được đăng tại [free tuts .net]

Trong ví dụ sau, tên người dùng được giới hạn ở các ký tự chữ và số cộng với dấu gạch dưới và độ dài từ 8 đến 20 ký tự.

if (preg_match("/^\w{8,20}$/", $_GET['username'], $matches)){
   $db = new SQLiteDatabase('filename');
   $result = @$db->query("SELECT * FROM users WHERE username = $matches[0]");
} else {
   echo "username not accepted";
}

Để chứng minh vấn đề nói trên, chúng ta cùng xem xét đoạn script sau:

$name = "Qadir'; DELETE FROM users;";
@$db->query("SELECT * FROM users WHERE username = '{$name}'");

Hàm trên dùng để lấy một bản ghi từ bảng users trong đó cột username khớp với $name do người dùng chỉ định. Trong các trường hợp thông thường, $name sẽ chỉ chứa các ký tự chữ và số và có thể có khoảng trắng, chẳng hạn như chuỗi ilia. Tuy nhiên, trong trường hợp này, bằng cách nối thêm một truy vấn hoàn toàn mới vào $name, lời gọi đến cơ sở dữ liệu sẽ biến thành một thảm họa. Truy vấn DELETE được chèn sẽ xóa tất cả các bản ghi khỏi bảng users.

Có một số cơ sở dữ liệu không cho phép query stacking hoặc thực hiện nhiều truy vấn trong một lệnh gọi hàm đơn. Nếu bạn cố gắng stack queries, lời gọi thất bại nhưng SQLite và PostgreSQL lại cho thực hiện stacked queries, thực hiện tất cả các truy vấn được cung cấp trong một chuỗi và tạo ra sự cố bảo mật nghiêm trọng.

2. Ngăn chặn Injection trong SQLite

Bạn có thể xử lý tất cả escape characters một cách thông minh bằng các ngôn ngữ script như PERL và PHP. Ngôn ngữ lập trình PHP cung cấp hàm sqlite_escape_opes() để escape input characters đặc biệt đối với SQLite.

if (get_magic_quotes_gpc()) {
   $name = sqlite_escape_string($name);
}
$result = @$db->query("SELECT * FROM users WHERE username = '{$name}'");

Mặc dù mã hóa giúp chèn dữ liệu an toàn, nhưng nó sẽ hiển thị các so sánh văn bản đơn giản và các mệnh đề LIKE trong các truy vấn của bạn không sử dụng được cho các cột chứa dữ liệu nhị phân.

Lưu ý - addcslashes() không nên được sử dụng để trích dẫn các chuỗi của bạn cho các truy vấn SQLite. Nó sẽ dẫn đến kết quả lạ khi lấy dữ liệu của bạn.

Bài trước Bài tiếp

Cùng chuyên mục:

Các hàm hữu ích trong SQLite

SQLite có nhiều hàm dựng sẵn để thực hiện xử lý trên dữ liệu chuỗi…

Date & Time trong SQLite

SQLite hỗ trợ năm hàm ngày và giờ như date(timestring, modifiers...), time(timestring, modifiers...), datetime(timestring, modifiers...),…

VACUUM trong SQLite

Lệnh VACUUM trong SQLite làm sạch cơ sở dữ liệu chính bằng cách sao chép…

EXPLAIN trong SQLite

Câu lệnh SQLite có thể được bắt đầu bằng từ khóa "EXPLAIN" hoặc bằng cụm…

Tăng tự động AUTOINCREMENT trong SQLite

AUTOINCREMENT trong SQLite là một từ khóa được sử dụng để tự động tăng giá…

Subquery trong SQLite

Subquery hoặc Inner query hoặc Nested query là một truy vấn bên trong một truy…

Transaction trong SQLite

Một transaction là một đơn vị công việc được thực hiện đối với một cơ…

Tìm hiểu View trong SQLite

Một view không có gì khác hơn một câu lệnh SQLite được lưu trữ trong…

Lệnh TRUNCATE TABLE trong SQLite

Thật không may, không có lệnh TRUNCATE TABLE trong SQLite nhưng bạn có thể sử…

Lệnh ALTER TABLE trong SQLite

Lệnh ALTER TABLE trong SQLite dùng để sửa đổi một bảng hiện có mà không…

Mệnh đề INDEXED BY trong SQLite

Mệnh đề "INDEXED BY index-name" chỉ định rằng index-name phải được sử dụng để tìm…

Index trong SQLite

Index là bảng tra cứu đặc biệt mà database search engine có thể sử dụng…

Tìm hiểu Trigger trong SQLite

Trigger trong SQLite là các hàm callback, mà tự động được thực hiện/gọi (performed/invoked) khi…

Cú pháp ALIAS trong SQLite

Bạn có thể đổi tên tạm thời một bảng hoặc một cột bằng cách đặt…

Toán tử UNION trong SQLite

Toán tử UNION trong SQLite được sử dụng để kết hợp các kết quả của…

Lệnh JOIN trong SQLite

Lệnh JOIN trong SQLite được sử dụng để kết hợp các bản ghi từ hai…

Các ràng buộc Constraint trong SQLite

Các ràng buộc (Constraints) là các quy tắc được thi hành trên một cột dữ…

Lệnh PRAGMA trong SQLite

Lệnh PRAGMA trong SQLite là một lệnh đặc biệt được sử dụng để kiểm soát…

Từ khóa DISTINCT trong SQLite

Từ khóa DISTINCT trong SQLite được sử dụng cùng với câu lệnh SELECT để loại…

Mệnh đề HAVING trong SQLite

Mệnh đề HAVING trong SQLite cho phép bạn chỉ định các điều kiện lọc kết…